La consultazione preventiva è il passaggio previsto dal GDPR in cui un titolare del trattamento chiede consiglio a un'autorità di controllo prima di avviare un trattamento che, dopo una Valutazione d'Impatto sulla Protezione dei Dati (DPIA), appare ancora ad alto rischio. Non si tratta di semplice burocrazia: è un'escalation formale quando misure di salvaguardia, minimizzazione e governance non bastano a ridurre il pericolo a un livello accettabile.
Nel campo della sicurezza informatica, la consultazione preventiva è importante perché i trattamenti ad alto rischio spesso coinvolgono dati personali sensibili, utenti vulnerabili o sistemi complessi di terze parti. Se un servizio gestisce contatti riservati, informazioni sanitarie o registri legati alla sicurezza, un'organizzazione può dover giustificare le proprie scelte progettuali prima del lancio. I difensori usano questo processo per dimostrare che i rischi sono stati riesaminati, che le mitigazioni sono state considerate e che il rischio residuo non è stato ignorato. Gli attaccanti beneficiano indirettamente quando le organizzazioni saltano questo passaggio: approvazioni deboli, scarso controllo dei fornitori e gestione degli incidenti non testata possono lasciare dati esposti e flussi di lavoro fragili. La consultazione preventiva aiuta a portare alla luce questi problemi prima che si trasformino in violazioni.