О чём эта статья
Статья 36 — обязанность контролёра проконсультироваться с надзорным органом до начала обработки, если оценка воздействия (DPIA, Art. 35) показала высокий остаточный риск.
36(1) — Когда нужна консультация
Контролёр консультируется с надзорным органом до начала обработки, если DPIA (Art. 35) показывает, что обработка повлекла бы высокий риск, не смягчённый принятыми контролёром мерами.
36(2) — Реакция надзорного органа
Если надзорный орган считает, что планируемая обработка нарушила бы Регламент, он в течение установленного срока (до 8 недель, с возможным продлением на 6 недель) даёт письменные рекомендации контролёру, а при необходимости использует свои полномочия по Art. 58.
36(3) — Что предоставляет контролёр
При обращении контролёр предоставляет надзорному органу: соответствующие обязанности участников обработки, цели и средства предполагаемой обработки, меры и гарантии для защиты прав субъектов, контактные данные DPO, саму DPIA и любую другую запрошенную информацию.
36(4)–36(5) — Дополнительные обязанности
Государства-члены консультируются с надзорным органом при подготовке законодательных мер, касающихся обработки. Надзорный орган может составить и опубликовать перечень случаев, требующих предварительной консультации.
Почему это важно
Это статья «второго мнения» от регулятора — для проектов, где собственная DPIA контролёра показала, что риск всё равно высокий. Без такой консультации запуск обработки в подобных случаях сам по себе становится нарушением, независимо от того, реализовался ли риск на практике.