Navegaci贸n
RGPD > Art铆culo聽36. Consulta previa
Descargar PDF

Art铆culo聽36 RGPD. Consulta previa

Article 36 GDPR. Prior consultation

1. El responsable consultar谩 a la autoridad de control antes de proceder al tratamiento cuando una evaluaci贸n de impacto relativa a la protecci贸n de los datos en virtud del art铆culo聽35 muestre que el tratamiento entra帽ar铆a un alto riesgo si el responsable no toma medidas para para mitigarlo.

1. The controller shall consult the supervisory authority prior to processing where a data protection impact assessment under Article 35 indicates that the processing would result in a high risk in the absence of measures taken by the controller to mitigate the risk.

Textos enlazados

2. Cuando la autoridad de control considere que el tratamiento previsto a que se refiere el apartado聽1 podr铆a infringir el presente Reglamento, en particular cuando el responsable no haya identificado o mitigado suficientemente el riesgo, la autoridad de control deber谩, en un plazo de ocho semanas desde la solicitud de la consulta, asesorar por escrito al responsable, y en su caso al encargado, y podr谩 utilizar cualquiera de sus poderes mencionados en el art铆culo聽58. Dicho plazo podr谩 prorrogarse seis semanas, en funci贸n de la complejidad del tratamiento previsto. La autoridad de control informar谩 al responsable y, en su caso, al encargado de tal pr贸rroga en el plazo de un mes a partir de la recepci贸n de la solicitud de consulta, indicando los motivos de la dilaci贸n. Estos plazos podr谩n suspenderse hasta que la autoridad de control haya obtenido la informaci贸n solicitada a los fines de la consulta.

2. Where the supervisory authority is of the opinion that the intended processing referred to in paragraph聽1 would infringe this Regulation, in particular where the controller has insufficiently identified or mitigated the risk, the supervisory authority shall, within period of up to eight weeks of receipt of the request for consultation, provide written advice to the controller and, where applicable to the processor, and may use any of its powers referred to in Article聽58. That period may be extended by six weeks, taking into account the complexity of the intended processing. The supervisory authority shall inform the controller and, where applicable, the processor, of any such extension within one month of receipt of the request for consultation together with the reasons for the delay. Those periods may be suspended until the supervisory authority has obtained information it has requested for the purposes of the consultation.

3. Cuando consulte a la autoridad de control con arreglo al apartado聽1, el responsable del tratamiento le facilitar谩 la informaci贸n siguiente:

3. When consulting the supervisory authority pursuant to paragraph聽1, the controller shall provide the supervisory authority with:

a) en su caso, las responsabilidades respectivas del responsable, los corresponsables y los encargados implicados en el tratamiento, en particular en caso de tratamiento dentro de un grupo empresarial;

(a)聽where applicable, the respective responsibilities of the controller, joint controllers and processors involved in the processing, in particular for processing within a group of undertakings;

b) los fines y medios del tratamiento previsto;

(b)聽the purposes and means of the intended processing;

c) las medidas y garant铆as establecidas para proteger los derechos y libertades de los interesados de conformidad con el presente Reglamento;

(c)聽the measures and safeguards provided to protect the rights and freedoms of data subjects pursuant to this Regulation;

d) en su caso, los datos de contacto del delegado de protecci贸n de datos;

(d)聽where applicable, the contact details of the data protection officer;

e) la evaluaci贸n de impacto relativa a la protecci贸n de datos establecida en el art铆culo聽35,聽y

(e)聽the data protection impact assessment provided for in Article聽35; and

Textos enlazados

f) cualquier otra informaci贸n que solicite la autoridad de control.

(f)聽any other information requested by the supervisory authority.

4. Los Estados miembros garantizar谩n que se consulte a la autoridad de control durante la elaboraci贸n de toda propuesta de medida legislativa que haya de adoptar un Parlamento nacional, o de una medida reglamentaria basada en dicha medida legislativa, que se refiera al tratamiento.

4. Member States shall consult the supervisory authority during the preparation of a proposal for a legislative measure to be adopted by a national parliament, or of a regulatory measure based on such a legislative measure, which relates to processing.

5. No obstante lo dispuesto en el apartado聽1, el Derecho de los Estados miembros podr谩 obligar a los responsables del tratamiento a consultar a la autoridad de control y a recabar su autorizaci贸n previa en relaci贸n con el tratamiento por un responsable en el ejercicio de una misi贸n realizada en inter茅s p煤blico, en particular el tratamiento en relaci贸n con la protecci贸n social y la salud p煤blica.

5. Notwithstanding paragraph聽1, Member聽State law may require controllers to consult with, and obtain prior authorisation from, the supervisory authority in relation to processing by a controller for the performance of a task carried out by the controller in the public interest, including processing in relation to social protection and public health.

ISO 27701 Considerandos Deja un comentario
ISO 27701

(EN) ISO/IEC 27701, adopted in 2019, added a requirement additional to ISO/IEC 27001, section 4.2.

Here is the relevant paragraph to article 36 GDPR:

5.2.2 Understanding the needs and expectations of interested parties

The organization shall include among its interested parties (see ISO/IEC 27001:2013, 4.2), those parties having interests or responsibilities associated with the processing of PII, including the PII principals.


para acceder al texto completo

Considerandos

(94) Debe consultarse a la autoridad de control antes de iniciar las actividades de tratamiento si una evaluaci贸n de impacto relativa a la protecci贸n de datos muestra que, en ausencia de garant铆as, medidas de seguridad y mecanismos destinados a mitigar los riesgos, el tratamiento entra帽ar铆a un alto riesgo para los derechos y libertades de las personas f铆sicas, y el responsable del tratamiento considera que el riesgo no puede mitigarse por medios razonables en cuanto a tecnolog铆a disponible y costes de aplicaci贸n. Existe la probabilidad de que ese alto riesgo se deba a determinados tipos de tratamiento y al alcance y frecuencia de este, lo que tambi茅n puede ocasionar da帽os y perjuicios o una injerencia en los derechos y libertades de la persona f铆sica. La autoridad de control debe responder a la solicitud de consulta dentro de un plazo determinado. Sin embargo, la ausencia de respuesta de la autoridad de control dentro de dicho plazo no debe obstar a cualquier intervenci贸n de dicha autoridad basada en las funciones y poderes que le atribuye el presente Reglamento, incluido el poder de prohibir operaciones de tratamiento. Como parte de dicho proceso de consulta, se puede presentar a la autoridad de control el resultado de una evaluaci贸n de impacto relativa a la protecci贸n de datos efectuada en relaci贸n con el tratamiento en cuesti贸n, en particular las medidas previstas para mitigar los riesgos para los derechos y libertades de las personas f铆sicas.

(94) Where a data protection impact assessment indicates that the processing would, in the absence of safeguards, security measures and mechanisms to mitigate the risk, result in a high risk to the rights and freedoms of natural persons and the controller is of the opinion that the risk cannot be mitigated by reasonable means in terms of available technologies and costs of implementation, the supervisory authority should be consulted prior to the start of processing activities. Such high risk is likely to result from certain types of processing and the extent and frequency of processing, which may result also in a realisation of damage or interference with the rights and freedoms of the natural person. The supervisory authority should respond to the request for consultation within a specified period. However, the absence of a reaction of the supervisory authority within that period should be without prejudice to any intervention of the supervisory authority in accordance with its tasks and powers laid down in this Regulation, including the power to prohibit processing operations. As part of that consultation process, the outcome of a data protection impact assessment carried out with regard to the processing at issue may be submitted to the supervisory authority, in particular the measures envisaged to mitigate the risk to the rights and freedoms of natural persons.

(95) El encargado del tratamiento debe asistir al responsable cuando sea necesario y a petici贸n suya, a fin de asegurar que se cumplen las obligaciones que se derivan de la realizaci贸n de las evaluaciones de impacto relativas a la protecci贸n de datos y de la consulta previa a la autoridad de control.

(95) The processor should assist the controller, where necessary and upon request, in ensuring compliance with the obligations deriving from the carrying out of data protection impact assessments and from prior consultation of the supervisory authority.

(96) Deben llevarse tambi茅n a cabo consultas con la autoridad de control en el curso de la tramitaci贸n de una medida legislativa o reglamentaria que establezca el tratamiento de datos personales, a fin de garantizar la conformidad del tratamiento previsto con el presente Reglamento y, en particular, de mitigar el riesgo que implique el tratamiento para el interesado.

(96) A consultation of the supervisory authority should also take place in the course of the preparation of a legislative or regulatory measure which provides for the processing of personal data, in order to ensure compliance of the intended processing with this Regulation and in particular to mitigate the risk involved for the data subject.

Deja un comentario
[js-disqus]