Dans son étude consacrée au numérique et aux droits fondamentaux, publiée en 2014, le Conseil d'État suggère de clarifier, dans la proposition de règlement de l'Union européenne qui était alors en cours de négociation, « le champ des traitements soumis en raison de leurs risques à des obligations particulières telles que la réalisation d'une étude d'impact ou la consultation préalable de l'autorité de contrôle, en définissant dans le règlement la liste des catégories de traitement concernées. La soumission à l'obligation de consultation préalable ne doit pas dépendre du résultat de l'étude d'impact. » (proposition no 15). L'article 35, et les considérants 89 à 97, du règlement (UE) 2016/679 adopté le 27 avril 2016, clarifient le champ des traitements soumis à la réalisation d'une étude d'impact. Sont ainsi concernés par cette obligation les traitements de données sensibles (révélant l'origine ethnique, les opinions politiques, philosophiques ou religieuses, l'appartenance syndicale, les données concernant la santé ou l'orientation sexuelle, mais aussi, les données génétiques ou biométriques) et les traitements reposant sur l'évaluation systématique et approfondie d'aspects personnels des personnes physiques, c'est-à-dire notamment le profilage. Ces dispositions précisent que le responsable de traitement doit réaliser une étude d'impact faisant apparaître les caractéristiques du traitement, les risques et les mesures adoptées. Conformément au principe de responsabilisation, qui a présidé à l'élaboration du nouveau dispositif européen, si l'analyse d'impact fait ressortir un risque élevé que le responsable de traitement ne peut atténuer en prenant des mesures appropriées, l'autorité de contrôle doit être consultée avant la mise en place du traitement. Le cas échéant, l'autorité de contrôle pourra s'opposer au traitement à la lumière des caractéristiques et conséquences de celui-ci. Il résulte de ce qui précède que le champ des traitements soumis à l'obligation d'étude d'impact a été clarifié par le règlement 2016/679, ainsi que le préconisait le rapport du Conseil d'Etat. Cela étant, le législateur européen a choisi, conformément au principe de responsabilisation, que la soumission à l'obligation de consultation préalable de l'autorité de contrôle dépende du résultat de l'étude d'impact. Il s'agit ici d'un changement de logique par rapport aux règles actuelles de la loi no 78-17 du 6 janvier 1978 relative à l'informatique et aux libertés. Il est attendu de ce changement qu'il allège la charge administrative des responsables de traitement tout en assurant un niveau de protection élevé.