Cos’è il DPIA e quando è obbligatorio? Una guida chiara sull’adempimento previsto dall’art. 35 del GDPR per valutare i rischi dei trattamenti dati ad alto rischio, con i casi specifici individuati dal Garante Privacy.
Il DPIA - Data Protection Impact Assessment - è una dei principali adempimenti per la privacy previsti dal GDPR. Quando un trattamento di dati può presentare un rischio elevato per i diritti delle persone fisiche - considerando natura, oggetto e finalità - il titolare deve effettuare una valutazione d'impatto prima di procedere.
Il significato è preciso: la DPIA è uno strumento disciplinato dall'art. 35 del Regolamento UE 2016/679 (GDPR), utile per descrivere un trattamento e valutarne necessità, proporzionalità e rischi.
Il Garante Privacy ha individuato casi specifici in cui la DPIA diventa obbligatoria:
DPIA è l'acronimo di Data Protection Impact Assessment, ovvero Valutazione d'Impatto sulla Protezione dei Dati.
Si tratta di una procedura che descrive il trattamento, ne valuta necessità e proporzionalità, e consente di gestire i rischi per i diritti e le libertà delle persone fisiche, derivanti dal trattamento dei dati personali.
La valutazione d'impatto è un processo aziendale strutturato: serve a garantire e dimostrare la conformità di un trattamento rispetto alla normativa vigente.
Il livello di impatto si calcola sugli interessati, non sul titolare.
Una singola DPIA può coprire più operazioni di trattamento simili per natura, ambito, contesto, finalità e rischi. Quando esistono trattamenti analoghi all'interno dell'organizzazione, questo approccio ottimizza tempi e risorse.
L'articolo 35 del GDPR stabilisce che il titolare deve effettuare la valutazione d'impatto prima di procedere al trattamento, ogni volta che l'uso di nuove tecnologie - considerate natura, oggetto, contesto e finalità - può presentare un rischio elevato per i diritti delle persone fisiche.
Il ricorso a nuove tecnologie può generare forme innovative di raccolta e utilizzo dei dati, cui si associa spesso un rischio elevato. Questo è il motivo per cui il Regolamento considera l’uso di nuove tecnologie un indicatore rilevante ai fini della valutazione della necessità della DPIA.
La DPIA permette al titolare di dimostrare la conformità alla normativa sulla protezione dei dati, e fornisce un approccio sistematico per comprendere i profili di rischio e le misure correttive da adottare.
È lo strumento principale dell'accountability. Supporta il titolare nel rispettare le prescrizioni del GDPR e consente di dimostrare la conformità dei trattamenti stessi.
Concretizza inoltre il principio di protezione dei dati fin dalla progettazione, anticipando i rischi prima che il trattamento abbia inizio.
Secondo le linee guida EDPB (WP248), la DPIA è obbligatoria quando un trattamento presenta un rischio elevato per i diritti delle persone, situazione che si verifica, in genere, quando coesistono due o più criteri di criticità.
Vediamo le casistiche principali e i relativi ambiti applicativi.
Non tutti i trattamenti richiedono una valutazione d'impatto. La DPIA non va effettuata quando il trattamento non comporta un rischio elevato per i diritti e le libertà delle persone fisiche.
Ecco alcuni casi di esenzione.
In base all'articolo 35 del GDPR, la responsabilità ultima della DPIA ricade interamente sul Titolare del trattamento, il quale deve effettuarla prima di avviare qualsiasi attività rischiosa.
Anche se la stesura pratica viene delegata a figure interne o a consulenti esterni, la paternità legale del documento resta del Titolare.
Il processo di redazione prevede il coinvolgimento e la cooperazione di diversi soggetti.
Qualora il Titolare decida di discostarsi dal parere del DPO o dalle opinioni espresse dagli interessati, è opportuno documentare le ragioni della scelta, anche ai fini del principio di accountability.
Condurre una Valutazione d'Impatto significa avviare un vero e proprio processo di Risk Management applicato alla protezione dei dati personali.
Una DPIA efficace richiede un approccio metodologico rigoroso, che consenta al Titolare del trattamento di analizzare l'impatto delle proprie scelte tecnologiche e organizzative sulla vita delle persone.
Questo percorso deve essere affrontato idealmente fin dalla fase di progettazione dei sistemi - Privacy by Design - e si articola in una sequenza logica di quattro fasi fondamentali, strutturate per coprire l'intero ciclo di vita del dato - dalla sua raccolta iniziale fino alla distruzione definitiva.
Per guidare operativamente le imprese, il Garante Privacy suggerisce l'uso del software gratuito DPIA della CNIL francese, disponibile in italiano e allineato alle linee guida del Comitato Europeo - EDPB.
Per i sistemi di videosorveglianza scolastica, il trattamento riguarda immagini acquisite per tutelare sicurezza e patrimonio.
I dati si conservano per un massimo di 72 ore, salvo richieste dell'autorità. Le telecamere operano esclusivamente negli orari di chiusura, escludendo dalla visuale le aree non pertinenti.
Gli interessati ricevono doppia informativa: cartellonistica all'accesso con dicitura "Area videosorvegliata" e informativa completa sul sito.
Per i sistemi comunali, le finalità includono vigilanza sulla sicurezza stradale, funzioni di pubblica sicurezza e prevenzione di reati ambientali. La base giuridica risiede nell'art. 6 par. 1 lett. e) del GDPR per compiti di interesse pubblico.
Le immagini si conservano per sette giorni, con applicazione dei principi di minimizzazione e anonimizzazione.
Le misure di mitigazione comprendono:
Come abbiamo potuto vedere, la DPIA rappresenta lo strumento con cui il titolare dimostra la conformità al GDPR e tutela gli interessati.
Richiede un metodo rigoroso: descrizione del trattamento, verifica di proporzionalità, analisi dei rischi e misure di sicurezza. Il supporto del DPO garantisce la qualità e la conformità della valutazione.
I nostri esperti sono a disposizione per verificare i tuoi obblighi o supportarti nella redazione.
Verifica subito se la tua attività è soggetta agli obblighi privacy, quali sono i provvedimenti da adottare e qual è il Piano Privacy giusto per te.
Ti garantiamo la nostra assistenza specialistica per tutti gli aspetti relativi al nostro servizio e agli adempimenti Privacy.
Uno dei nostri esperti è a tua disposizione e ti risponderà gratuitamente.