Nel caso in cui il risultato della valutazione d’impatto mostri che la situazione di rischio non sia stata mitigata, e quindi  il trattamento dei dati riveli un rischio potenzialmente ancora elevato per i diritti e le libertà fondamentali dei soggetti interessati, occorrerà rivolgersi all’autorità di controllo (Garante Privacy) al fine di avviare la cosiddetta consultazione preventiva ai sensi dell’art. 36 del Regolamento.

Al momento di consultare il Garante, il Titolare del trattamento gli comunica:

a) se applicabile, le rispettive responsabilità del Titolare del trattamento (dei Contitolari del trattamento) e dei Responsabili del trattamento, specialmente se il trattamento avviene nell'ambito di un gruppo imprenditoriale;

b) le finalità e i mezzi del trattamento previsto;

c) le misure e le garanzie previste per proteggere i diritti e le libertà degli interessati;

d) ove applicabile, i dati di contatto del Responsabile della protezione dei dati;

e) la valutazione d'impatto sulla protezione dei dati e ogni altra informazione richiesta dal Garante.