BOLETÍN OFICIAL DEL ESTADO
Núm. 126

Jueves 27 de mayo de 2021

Sec. I. Pág. 64125

2. Estos registros se utilizarán únicamente a efectos de verificar la legalidad del
tratamiento, controlar el cumplimiento de las medidas y de las políticas de protección de
datos y garantizar la integridad y la seguridad de los datos personales en el ámbito de los
procesos penales.
Dichos registros estarán a disposición de la autoridad de protección de datos
competente a solicitud de esta, de conformidad con lo dispuesto legalmente.
Artículo 34.

Cooperación con las autoridades de protección de datos.

El responsable y el encargado del tratamiento cooperarán con la autoridad de
protección de datos competente, en el marco de la legislación vigente, cuando esta lo
solicite en el desempeño de sus funciones.
Artículo 35.

Evaluación de impacto relativa a la protección de datos.

1. Cuando sea probable que un tipo de tratamiento, en particular si utiliza nuevas
tecnologías, suponga por su naturaleza, alcance, contexto o fines, un alto riesgo para los
derechos y libertades de las personas físicas, el responsable del tratamiento realizará, con
carácter previo, una evaluación del impacto de las operaciones de tratamiento previstas en
la protección de datos personales.
2. La evaluación incluirá, como mínimo, una descripción general de las operaciones
de tratamiento previstas, una evaluación de riesgos para los derechos y libertades de los
interesados, las medidas contempladas para hacer frente a estos peligros, así como las
medidas de seguridad y mecanismos destinados a garantizar la protección de los datos
personales y a demostrar su conformidad con esta Ley Orgánica. Esta evaluación tendrá
en cuenta los derechos e intereses legítimos de los interesados y de las demás personas
afectadas.
3. Las autoridades de protección de datos podrán establecer una lista de tratamientos
que estén sujetos a la realización de una evaluación de impacto con arreglo a lo dispuesto
en el apartado anterior y, del mismo modo, podrán establecer una lista de tratamientos que
no estén sujetos a esta obligación. Ambas listas tendrán un carácter meramente orientativo.
Artículo 36.

Consulta previa a la autoridad de protección de datos.

1. El responsable o el encargado del tratamiento consultará a la autoridad de
protección de datos, antes de proceder al tratamiento de datos personales que vayan a
formar parte de un nuevo fichero, en cualquiera de las siguientes circunstancias:

2. La autoridad de protección de datos correspondiente podrá establecer una lista de
carácter orientativo, de las operaciones de tratamiento sujetas a consulta previa, con
arreglo a lo dispuesto en el apartado anterior.
3. El responsable del tratamiento facilitará a la autoridad de protección de datos
competente, la evaluación de impacto contemplada en el artículo 35 y, previa solicitud,
cualquier información adicional que permita a dicha autoridad de protección de datos
evaluar la conformidad del tratamiento y, más concretamente, el nivel de riesgo para la
protección de los datos personales del interesado y las garantías correspondientes.
4. Cuando la autoridad de protección de datos considere que el tratamiento previsto
en el apartado 1 pudiera infringir lo dispuesto en esta Ley Orgánica deberá, en un plazo de
seis semanas desde la solicitud de la consulta, asesorar por escrito al responsable del
tratamiento y, en su caso, al encargado del tratamiento, en especial, cuando el responsable

cve: BOE-A-2021-8806
Verificable en https://www.boe.es

a) Cuando la evaluación del impacto en la protección de los datos indique que el
tratamiento entrañaría un alto nivel de riesgo, a falta de medidas adoptadas por el
responsable para mitigar el riesgo o los posibles daños.
b) Cuando el tipo de tratamiento pueda generar un alto nivel de riesgo para los
derechos y libertades de los interesados, en particular, cuando se usen tecnologías,
mecanismos o procedimientos nuevos.