Sådan demonstrerer du overholdelse af GDPR artikel 36

GDPR artikel 36 skitserer en organisations forpligtelse til at rådføre sig med en "tilsynsmyndighed", før der udføres en DPIA (se artikel 35), for yderligere at beskytte de registreredes rettigheder og friheder under hele behandlingen.

GDPR Artikel 36 Lovtekst

EU GDPR-version

Forudgående konsultation

1. Den registeransvarlige skal rådføre sig med tilsynsmyndigheden inden behandlingen, hvis en databeskyttelseskonsekvensvurdering i henhold til artikel 35 viser, at behandlingen vil resultere i en høj risiko, hvis den registeransvarlige ikke træffer foranstaltninger til at afbøde risikoen.
2. Hvis tilsynsmyndigheden er af den opfattelse, at den påtænkte behandling som omhandlet i stk. 1 vil være i strid med denne forordning, navnlig hvis den registeransvarlige ikke i tilstrækkelig grad har identificeret eller afbødet risikoen, skal tilsynsmyndigheden inden for en frist på op til otte uger efter modtagelsen af anmodningen om høring, give skriftlig rådgivning til den dataansvarlige og, hvor det er relevant, til databehandleren, og kan bruge enhver af sine beføjelser som omhandlet i artikel 58. Denne periode kan forlænges med seks uger under hensyntagen til kompleksiteten af ​​den påtænkte behandling . Tilsynsmyndigheden underretter den dataansvarlige og, hvor det er relevant, databehandleren om enhver sådan forlængelse inden for en måned efter modtagelsen af ​​anmodningen om høring sammen med årsagerne til forsinkelsen. Disse perioder kan suspenderes, indtil tilsynsmyndigheden har indhentet oplysninger, som den har anmodet om med henblik på høringen.
3. Ved høring af tilsynsmyndigheden i henhold til stk. 1 skal den registeransvarlige give tilsynsmyndigheden:
• a) hvor det er relevant, de respektive ansvarsområder for den dataansvarlige, fælles dataansvarlige og databehandlere, der er involveret i behandlingen, især for behandling inden for en gruppe af virksomheder
• b) formålene med og midlerne til den påtænkte behandling;
• c) de foranstaltninger og garantier, der er fastsat for at beskytte de registreredes rettigheder og friheder i henhold til denne forordning
• d) hvor det er relevant, kontaktoplysningerne for den databeskyttelsesansvarlige
• e) konsekvensanalysen for databeskyttelse, jf. artikel 35; og
• f) enhver anden information, som tilsynsmyndigheden anmoder om.

4. Medlemsstaterne hører tilsynsmyndigheden under udarbejdelsen af ​​et forslag til en lovgivningsmæssig foranstaltning, der skal vedtages af et nationalt parlament, eller af en reguleringsforanstaltning baseret på en sådan lovgivningsmæssig foranstaltning, der vedrører behandling.
5. Uanset stk. 1 kan medlemsstaternes lovgivning kræve, at registeransvarlige rådfører sig med og indhenter forudgående tilladelse fra tilsynsmyndigheden i forbindelse med behandling foretaget af en dataansvarlig med henblik på udførelsen af ​​en opgave, der udføres af den dataansvarlige i offentlighedens interesse, herunder behandling i forbindelse med til social beskyttelse og folkesundhed.

UK GDPR-version

Forudgående konsultation

1. Den registeransvarlige skal rådføre sig med kommissæren inden behandlingen, hvis en konsekvensvurdering af databeskyttelse i henhold til artikel 35 viser, at behandlingen vil resultere i en høj risiko, hvis den registeransvarlige ikke træffer foranstaltninger til at afbøde risikoen.
2. Hvis kommissæren er af den opfattelse, at den påtænkte behandling som omhandlet i stk. 1 ville være i strid med denne forordning, især hvis den registeransvarlige ikke i tilstrækkelig grad har identificeret eller mindsket risikoen, skal kommissæren inden for en periode på op til otte uger efter modtagelsen af ​​anmodningen til høring, give skriftlig rådgivning til den dataansvarlige og, hvor det er relevant, til databehandleren, og kan bruge enhver af sine beføjelser, der er omhandlet i artikel 58. Denne periode kan forlænges med seks uger under hensyntagen til kompleksiteten af ​​den påtænkte behandling. Commissioner underretter den registeransvarlige og, hvor det er relevant, databehandleren om enhver sådan forlængelse inden for en måned efter modtagelsen af ​​anmodningen om høring sammen med årsagerne til forsinkelsen. Disse perioder kan suspenderes, indtil kommissæren har indhentet oplysninger, som den har anmodet om med henblik på høringen.
3. Ved høring af kommissæren i henhold til stk. 1 skal den registeransvarlige give tilsynsmyndigheden:
• a) hvor det er relevant, de respektive ansvarsområder for den dataansvarlige, fælles dataansvarlige og databehandlere, der er involveret i behandlingen, især for behandling inden for en gruppe af virksomheder
• b) formålene med og midlerne til den påtænkte behandling;
• c) de foranstaltninger og garantier, der er fastsat for at beskytte de registreredes rettigheder og friheder i henhold til denne forordning
• d) hvor det er relevant, kontaktoplysningerne for den databeskyttelsesansvarlige
• e) konsekvensanalysen for databeskyttelse, jf. artikel 35; og
• f) enhver anden information, som tilsynsmyndigheden anmoder om.
4. Den relevante myndighed skal høre kommissæren under udarbejdelsen af ​​et forslag til en lovgivningsmæssig foranstaltning, der skal vedtages af parlamentet, nationalforsamlingen for Wales, det skotske parlament eller den nordirske forsamling, eller af en reguleringsforanstaltning baseret på en sådan lovgivningsmæssig foranstaltning. som vedrører forarbejdning.
   
   4A. I stk. 4 betyder "den relevante myndighed"- (a) i forbindelse med en lovgivningsmæssig foranstaltning vedtaget af parlamentet, eller en reguleringsforanstaltning baseret på en sådan lovgivningsmæssig foranstaltning, statssekretæren; (b) i forbindelse med en lovgivningsmæssig foranstaltning vedtaget af nationalforsamlingen for Wales, eller en regulerende foranstaltning baseret på en sådan lovgivningsmæssig foranstaltning, de walisiske ministre; (c) i forbindelse med en lovgivningsmæssig foranstaltning vedtaget af det skotske parlament eller en reguleringsforanstaltning baseret på en sådan lovgivningsmæssig foranstaltning, de skotske ministre; (d) i forhold til en lovgivningsmæssig foranstaltning vedtaget af Northern Ireland Assembly, eller en reguleringsforanstaltning baseret på en sådan lovgivningsmæssig foranstaltning, det relevante Northern Ireland Department.
5. Uanset stk. 1 kan medlemsstaternes lovgivning kræve, at registeransvarlige rådfører sig med og indhenter forudgående tilladelse fra tilsynsmyndigheden i forbindelse med behandling foretaget af en dataansvarlig med henblik på udførelsen af ​​en opgave, der udføres af den dataansvarlige i offentlighedens interesse, herunder behandling i forbindelse med til social beskyttelse og folkesundhed.