Hvordan demonstrere samsvar med GDPR artikkel 36

GDPR Artikkel 36 skisserer en organisasjons forpliktelse til å konsultere en "tilsynsmyndighet" før en DPIA utføres (se artikkel 35), for å ytterligere beskytte rettighetene og frihetene til registrerte personer gjennom hele behandlingsoperasjonen.

GDPR artikkel 36 juridisk tekst

EU GDPR-versjon

Forhåndskonsultasjon

1. Den behandlingsansvarlige skal rådføre seg med tilsynsmyndigheten før behandling der en konsekvensvurdering for databeskyttelse i henhold til artikkel 35 indikerer at behandlingen vil resultere i høy risiko i fravær av tiltak fra den behandlingsansvarlige for å redusere risikoen.
2. Dersom tilsynsmyndigheten mener at den påtenkte behandlingen nevnt i nr. 1 vil være i strid med denne forordningen, særlig når den behandlingsansvarlige ikke har identifisert eller redusert risikoen tilstrekkelig, skal tilsynsmyndigheten innen en frist på inntil åtte uker etter mottak av forespørselen om konsultasjon, gi skriftlige råd til den behandlingsansvarlige og, der det er aktuelt til databehandleren, og kan bruke enhver av sine fullmakter nevnt i artikkel 58. Denne perioden kan forlenges med seks uker, tatt i betraktning kompleksiteten til den tiltenkte behandlingen . Tilsynsmyndigheten skal informere den behandlingsansvarlige og eventuelt databehandleren om enhver slik forlengelse innen én måned etter mottak av anmodningen om konsultasjon sammen med årsakene til forsinkelsen. Disse periodene kan suspenderes inntil tilsynsmyndigheten har innhentet informasjon den har bedt om i forbindelse med konsultasjonen.
3. Når den behandlingsansvarlige konsulterer tilsynsmyndigheten i henhold til nr. 1, skal den gi tilsynsmyndigheten:
• (a) der det er aktuelt, de respektive ansvarsområdene til den behandlingsansvarlige, felles behandlingsansvarlige og behandlere som er involvert i behandlingen, særlig for behandling innenfor en gruppe av foretak;
• (b) formålene og midlene for den tiltenkte behandlingen;
• (c) tiltakene og sikkerhetstiltakene gitt for å beskytte rettighetene og frihetene til registrerte personer i henhold til denne forordning;
• (d) der det er aktuelt, kontaktopplysningene til personvernombudet;
• e) konsekvensanalysen for databeskyttelse fastsatt i artikkel 35; og
• (f) enhver annen informasjon som tilsynsmyndigheten ber om.

4. Medlemsstatene skal rådføre seg med tilsynsmyndigheten under utarbeidelsen av et forslag til et lovgivningstiltak som skal vedtas av et nasjonalt parlament, eller av et reguleringstiltak basert på et slikt lovgivningstiltak, som gjelder behandling.
5. Uten hensyn til nr. 1 kan medlemsstatslovgivning kreve at behandlingsansvarlige konsulterer med og innhenter forhåndsgodkjenning fra tilsynsmyndigheten i forhold til behandling fra en behandlingsansvarlig for å utføre en oppgave utført av den behandlingsansvarlige i allmennhetens interesse, herunder behandling i forbindelse med til sosial beskyttelse og folkehelse.

UK GDPR-versjon

Forhåndskonsultasjon

1. Den behandlingsansvarlige skal rådføre seg med kommissæren før behandling der en konsekvensvurdering for databeskyttelse i henhold til artikkel 35 indikerer at behandlingen vil resultere i en høy risiko i fravær av tiltak fra den behandlingsansvarlige for å redusere risikoen.
2. Dersom kommissæren er av den oppfatning at den tiltenkte behandlingen nevnt i nr. 1 vil være i strid med denne forordning, særlig der den behandlingsansvarlige ikke har identifisert eller redusert risikoen tilstrekkelig, skal kommisjonæren innen en periode på opptil åtte uker etter mottak av anmodningen. for konsultasjon, gi skriftlige råd til den behandlingsansvarlige og, der det er aktuelt, til databehandleren, og kan bruke enhver av dens fullmakter nevnt i artikkel 58. Denne perioden kan forlenges med seks uker, tatt i betraktning kompleksiteten til den tiltenkte behandlingen. Kommissæren skal informere den behandlingsansvarlige og eventuelt databehandleren om enhver slik forlengelse innen én måned etter mottak av forespørselen om konsultasjon sammen med årsakene til forsinkelsen. Disse periodene kan suspenderes inntil kommissæren har innhentet informasjon den har bedt om i forbindelse med konsultasjonen.
3. Når den behandlingsansvarlige konsulterer kommissæren i henhold til nr. 1, skal den gi tilsynsmyndigheten:
• (a) der det er aktuelt, de respektive ansvarsområdene til den behandlingsansvarlige, felles behandlingsansvarlige og behandlere som er involvert i behandlingen, særlig for behandling innenfor en gruppe av foretak;
• (b) formålene og midlene for den tiltenkte behandlingen;
• (c) tiltakene og sikkerhetstiltakene gitt for å beskytte rettighetene og frihetene til registrerte personer i henhold til denne forordning;
• (d) der det er aktuelt, kontaktopplysningene til personvernombudet;
• e) konsekvensanalysen for databeskyttelse fastsatt i artikkel 35; og
• (f) enhver annen informasjon som tilsynsmyndigheten ber om.
4. Den relevante myndigheten må konsultere kommissæren under utarbeidelsen av et forslag til et lovgivningstiltak som skal vedtas av parlamentet, nasjonalforsamlingen for Wales, det skotske parlamentet eller forsamlingen i Nord-Irland, eller av et reguleringstiltak basert på et slikt lovgivningstiltak, som er knyttet til behandling.
   
   4A. I paragraf 4 betyr «den relevante myndighet»- (a) i forhold til et lovgivningstiltak vedtatt av parlamentet, eller et reguleringstiltak basert på et slikt lovgivningstiltak, statssekretæren; (b) i forhold til et lovgivningstiltak vedtatt av nasjonalforsamlingen for Wales, eller et reguleringstiltak basert på et slikt lovgivningstiltak, de walisiske ministrene; (c) i forhold til et lovgivningstiltak vedtatt av det skotske parlamentet, eller et reguleringstiltak basert på et slikt lovgivningstiltak, de skotske ministrene; (d) i forhold til et lovgivningsmessig tiltak vedtatt av Northern Ireland Assembly, eller et regulatorisk tiltak basert på et slikt lovgivningsmessig tiltak, det relevante Northern Ireland Department.
5. Uten hensyn til nr. 1 kan medlemsstatslovgivning kreve at behandlingsansvarlige konsulterer med og innhenter forhåndsgodkjenning fra tilsynsmyndigheten i forhold til behandling fra en behandlingsansvarlig for å utføre en oppgave utført av den behandlingsansvarlige i allmennhetens interesse, herunder behandling i forbindelse med til sosial beskyttelse og folkehelse.