Artigo 40.o Consulta prévia

1.   O responsável pelo tratamento deve consultar a Autoridade Europeia para a Proteção de Dados antes de proceder ao tratamento, caso uma avaliação de impacto relativa à proteção de dados, efetuada nos termos do artigo 39.o, indique que o tratamento, na falta de garantias, de medidas e de procedimentos de segurança para atenuar os riscos, constitui um elevado risco para os direitos e as liberdades das pessoas singulares, e o responsável pelo tratamento considere que o risco não poderá ser atenuado através de meios razoáveis, tendo em conta as tecnologias disponíveis e os custos de aplicação. O responsável pelo tratamento deve solicitar o parecer do encarregado da proteção de dados sobre a necessidade da consulta prévia.

2.   Caso a Autoridade Europeia para a Proteção de Dados considere que o tratamento previsto a que se refere o n.o 1 violaria o presente regulamento, nomeadamente se o responsável pelo tratamento não tiver identificado ou atenuado suficientemente os riscos, deve emitir orientações por escrito, no prazo máximo de oito semanas a contar da receção do pedido de consulta, destinadas ao responsável pelo tratamento e, se aplicável, ao subcontratante, e pode recorrer a todos os seus poderes referidos no artigo 58.o. Esse prazo pode ser prorrogado por seis semanas, tendo em conta a complexidade do tratamento previsto. A Autoridade Europeia para a Proteção de Dados deve informar da prorrogação o responsável pelo tratamento e, se aplicável, o subcontratante, no prazo de um mês a contar da data de receção do pedido de consulta, indicando os motivos do atraso. Esses prazos podem ser suspensos até a Autoridade Europeia para a Proteção de Dados ter obtido as informações solicitadas para os efeitos da consulta.

3.   Quando consultar a Autoridade Europeia para a Proteção de Dados nos termos do n.o 1, o responsável pelo tratamento deve comunicar-lhe os seguintes elementos:

4.   A Comissão pode elaborar, mediante um ato de execução, uma lista de casos em que os responsáveis pelo tratamento devem consultar a Autoridade Europeia para a Proteção de Dados e dela obter a autorização prévia no que diz respeito ao tratamento de dados pessoais efetuado no exercício de uma missão de interesse público por um responsável pelo tratamento, incluindo o tratamento desses dados por motivos de proteção social e de saúde pública.