用途：在依据 GDPR 第35条开展的数据保护影响评估（DPIA）显示高风险、且已采取合理缓解措施后残留风险仍高时，指导控制者向监管机构进行第36条事前咨询。
触发条件：需同时满足已开展DPIA、DPIA识别出对数据主体权利与自由的高风险、已应用所有合理可用的缓解措施、缓解后残留风险仍高。
第36(3)条所需文件：控制者、共同控制者与处理者各自职责；预期处理的目的与方式；保护数据主体的措施与保障；DPO联系方式；已完成的DPIA；监管机构要求的其他信息。
时间线：监管机构初始答复期为收到后8周；复杂案件可延长最多6周，总计最长14周；仅在收到建议或期限届满后方可开始处理。
流程：提交前确认DPIA包含第35(7)条必备要素、记录缓解措施与残留高风险原因、取得DPO审核批准、准备完整材料；向主管监管机构提交（跨境处理适用第56条牵头机构），保留带日期戳的提交证明；及时回应补充信息请求并跟踪期限；结果处理包括批准后按条件进行、落实建议并记录合规、被反对或限制时不得进行并修改设计，期限届满无回应可记录后继续。
成员国差异：第36(5)条允许成员国法律对涉及公共利益（含社会保障与公共卫生）的处理要求事前咨询，控制者须核查本地实施立法。
常见触发场景：大规模生物识别系统、系统性公共区域人脸识别监控、人口规模基因数据处理、缓解不足且具法律或类似重大影响的自动化决策、风险不可预测的新技术处理。
限制：资料未提供具体司法辖区模板、费用或价格、平台与工具集成方式；实际提交格式需以主管机构规定为准。