La consultazione preventiva è quella procedura con la quale il titolare del trattamento, prima di procedere al trattamento, consulta l’autorità di controllo (il Garante della privacy) qualora la valutazione d’impatto  indichi che il trattamento presenta un rischio elevato per gli interessati.
Lo scopo della consultazione preventiva del Garante consiste nell’ottenere da questi le indicazioni giuste per poter attuare il trattamento in maniera non pericolosa.
La consultazione preventiva è motivata da rischi differenti rispetto a quelli che si identificano e si valutano secondo l’art.32. Non siamo di fronte alla valutazione del rischio che incombe sui dati quale ad esempio l’accesso non autorizzato, la distruzione volontaria o il trafugamento per fini impropri. Stiamo invece parlando di rischi che gravano sulla salute e la sicurezza delle persone interessate.

I trattamenti pericolosi

Il gruppo WP 29 costituito dalle autorità garanti dei singoli paesi europei ha individuato nove casi che possono comportare rischi elevati per le persone che sono:
  • Trattamenti valutativi o di scoring
  • Decisioni automatizzate che prevedono effetti giuridici sulla sfera degli interessati
  • Monitoraggio sistematico
  • Dati sensibili o di natura estremamente personali
  • Trattamenti su larga scala
  • Combinazione o raffronto tra insiemi di dati
  • Dati relativi ad interessati vulnerabili
  • Utilizzi innovativi o applicazione di nuove soluzioni tecnologiche e organizzative
  • Trattamenti che impediscono agli interessati di esercitare un diritto o di avvalersi di un servizio o di un contratto

Cosa comunicare al Garante

L’Art. 36 del Regolamento UE 2016/679 definisce quali siano le informazioni che il titolare deve comunicare affinché si possa ottenere il parere del Garante:
  • Le rispettive responsabilità del titolare del trattamento, dei contitolari del trattamento e dei responsabili del trattamento
  • Le finalità e i mezzi del trattamento previsto
  • Le misure e le garanzie previste per proteggere i diritti e le libertà degli interessati a norma del presente regolamento
  • I dati di contatto del responsabile della protezione dei dati, ove applicabile
  • La valutazione d’impatto sulla protezione dei dati (DPIA)
  • Ogni altra informazione richiesta dall’autorità di controllo