1. Les responsables conjoints du traitement conviennent si une analyse d’impact relative à la protection des données est nécessaire et déterminent lequel d’entre eux élabore le projet d’une telle analyse.
2. Une analyse d’impact relative à la protection des données ne peut être considérée comme finale que si elle a été approuvée par tous les responsables conjoints du traitement.
3. Lorsque cela est justifié, par exemple lorsque les responsables conjoints du traitement ne participent pas aux mêmes étapes d’une opération de traitement, ils effectuent une analyse d’impact relative à la protection des données distincte pour l’étape particulière de l’opération de traitement à laquelle ils participent.
4. Lorsqu’il ressort d’une analyse d’impact relative à la protection des données que, en l’absence de garanties, de mesures de sécurité et de mécanismes pour atténuer le risque, le traitement engendrerait un risque élevé pour les droits et libertés des personnes physiques et que le responsable conjoint du traitement chargé d’élaborer le projet conformément au paragraphe 1 est d’avis que le risque ne peut être atténué par des moyens raisonnables compte tenu des techniques disponibles et des coûts de mise en œuvre, ledit responsable consulte son autorité de contrôle. Dans un tel cas, la BCE consulte également le Contrôleur européen de la protection des données conformément à l’article 40 du règlement (UE) 2018/1725, même si elle n’est pas le responsable conjoint du traitement chargé d’élaborer le projet conformément au paragraphe 1.