Artigo 39.o Avaliação de impacto relativa à proteção de dados

1.   Caso um tipo de tratamento, em particular, um tipo de tratamento que utilize novas tecnologias, seja suscetível de constituir um elevado risco para os direitos e as liberdades das pessoas singulares, o responsável pelo tratamento, tendo em conta a natureza, o âmbito, o contexto e as finalidades do tratamento, deve proceder, antes de iniciar o tratamento, a uma avaliação do impacto das operações de tratamento previstas na proteção de dados pessoais. Se um conjunto de operações de tratamento apresentar riscos elevados semelhantes, pode ser objeto de uma única e mesma avaliação.

2.   Ao efetuar uma avaliação de impacto relativa à proteção de dados, o responsável pelo tratamento deve solicitar o parecer do encarregado da proteção de dados.

3.   A realização de uma avaliação de impacto relativa à proteção de dados a que se refere o n.o 1 é obrigatória, nomeadamente, em caso de:

4.   A Autoridade Europeia para a Proteção de Dados deve estabelecer e tornar pública uma lista dos tipos de operações de tratamento sujeitos ao requisito de avaliação de impacto relativa à proteção de dados nos termos do n.o 1.

5.   A Autoridade Europeia para a Proteção de Dados pode também estabelecer e tornar pública uma lista dos tipos de operações de tratamento em relação aos quais a avaliação de impacto relativa à proteção de dados não é obrigatória.

6.   Antes de adotar as listas referidas nos n.os 4 e 5 do presente artigo, a Autoridade Europeia para a Proteção de Dados solicita que o Comité Europeu para a Proteção de Dados criado pelo artigo 68.o do Regulamento (UE) 2016/679 analise essas listas nos termos do artigo 70.o, n.o 1, alínea e), desse regulamento, caso se refiram a operações de tratamento efetuadas por um responsável pelo tratamento que atue em conjunto com um ou mais responsáveis pelo tratamento que não sejam uma instituição ou um organismo da União.

7.   A avaliação deve incluir, pelo menos:

8.   Ao avaliar o impacto das operações de tratamento efetuadas pelos subcontratantes, em especial para efeitos de uma avaliação de impacto relativa à proteção de dados, deve ser tido em devida conta o respeito dos códigos de conduta aprovados a que se refere o artigo 40.o do Regulamento (UE) 2016/679 pelos subcontratantes em causa que não sejam instituições ou órgãos da União.

9.   Se for adequado, o responsável pelo tratamento deve solicitar a opinião dos titulares de dados ou dos seus representantes sobre o tratamento previsto, sem prejuízo da defesa dos interesses públicos ou da segurança das operações de tratamento.

10.   Se o tratamento efetuado por força do artigo 5.o, n.o 1, alíneas a) ou b), tiver por fundamento jurídico um ato normativo adotado com base nos Tratados, e esse ato regular a operação ou conjuntos de operações de tratamento específicas em questão, e se já tiver sido realizada uma avaliação de impacto geral da proteção dos dados antes da adoção desse ato normativo, não se aplicam os n.os 1 a 6 do presente artigo, salvo disposição em contrário prevista nesse ato normativo.

11.   Se necessário, o responsável pelo tratamento deve proceder a um controlo para avaliar se o tratamento é realizado em conformidade com a avaliação de impacto relativa à proteção de dados, pelo menos quando existir uma alteração do risco representado pelas operações de tratamento.