Scenario illustrativo: persone e organizzazioni sono ipotetiche. Non è un incarico o un risultato attribuito allo studio.
LA RISPOSTA IN BREVE
Non tutte le app richiedono una DPIA, ma il rischio elevato va valutato prima del trattamento. Se ricorrono i presupposti, la valutazione deve poter cambiare progettazione, dati raccolti e misure: farla a prodotto già imposto ne riduce l’utilità.
La situazione.
Scenario illustrativo fittizio. Un’impresa progetta un’app che propone servizi combinando posizione frequente, preferenze e andamento degli acquisti. Il progetto prevede profili persistenti e un ampio numero di utenti. A pochi giorni dal lancio il team chiede una «DPIA standard», perché le funzioni sono ormai state promesse ai partner commerciali.
PRIMA DI DECIDERE
Tre fatti da mettere a fuoco.
- 01
Occorre analizzare frequenza, granularità e combinazione dei dati, non la sola presenza del GPS.
- 02
Numero degli utenti, contesto e vulnerabilità eventuali concorrono alla valutazione del rischio elevato.
- 03
Le scelte di prodotto devono essere ancora modificabili quando emergono misure o alternative necessarie.
Valuta insieme questi elementi prima di scegliere le azioni.
Come impostare la valutazione.
L’articolo 35 GDPR richiede una valutazione d’impatto quando un tipo di trattamento può presentare un rischio elevato, considerando natura, oggetto, contesto e finalità. Gli esempi e gli elenchi delle autorità aiutano l’analisi, ma non sostituiscono la descrizione del progetto concreto. Non esiste una DPIA universale valida per qualunque applicazione solo perché utilizza la stessa tecnologia.
La valutazione comprende necessità e proporzionalità, rischi per le persone e misure previste. Deve quindi confrontarsi con ipotesi meno intrusive: localizzazione meno precisa, elaborazioni locali, conservazione ridotta o funzioni facoltative. Se rimane un rischio elevato in assenza delle misure necessarie a mitigarlo, va valutata la consultazione preventiva dell’autorità ai sensi dell’articolo 36 prima di procedere. Il completamento di un modulo, da solo, non autorizza il lancio.
Cosa fare, in pratica.
- 01
Eseguire uno screening documentato con funzioni, flussi e categorie di utenti effettivi, coinvolgendo prodotto, sicurezza e competenze privacy prima di fissare il rilascio.
- 02
Raccogliere i motivi per cui ogni dato e combinazione sarebbero necessari, confrontandoli con alternative che raggiungano l’obiettivo con un impatto inferiore.
- 03
Analizzare conseguenze possibili come ricostruzione degli spostamenti, discriminazione o accessi abusivi, senza ridurre il rischio alle sole probabilità di un attacco informatico.
- 04
Definire misure, responsabilità e verifiche di efficacia, spiegando quali rischi residui restino e quali condizioni impediscano di avviare alcune funzioni.
- 05
Aggiornare la valutazione quando cambiano profili, destinatari o modalità di raccolta, evitando di considerarla un documento valido per ogni sviluppo successivo dell’app.
L’errore da evitare.
Chiedere una relazione già pronta per giustificare decisioni commerciali irreversibili, senza consentire alla valutazione di incidere sul prodotto.
Tre verifiche da portare con te.
- Screening svolto prima del trattamento.
- Alternative meno intrusive confrontate.
- Rischio residuo e condizioni di avvio esplicitati.
La DPIA è una valutazione per decidere, non un certificato da archiviare. Il suo momento naturale è prima delle scelte difficili da correggere.
Fonti e riferimenti.
Collegamenti alle fonti istituzionali utilizzate per il quadro di riferimento. Controlla versione, ambito e regole complementari applicabili.