Di cosa si tratta.
La valutazione d’impatto sulla protezione dei dati, o DPIA, è un processo preventivo per comprendere e ridurre i rischi elevati che un trattamento può creare per diritti e libertà delle persone. Non è una verifica da aggiungere quando il servizio è già stato deciso e non è una certificazione generale dell’azienda. La raccolta tematica EDPB orienta verso documenti, strumenti e indicazioni pertinenti. Per decidere se occorre una DPIA bisogna considerare il trattamento concreto e le fonti applicabili, compresi gli elenchi delle autorità nazionali. La valutazione deve incidere sulle scelte: dati raccolti, accessi, tecnologie, conservazione e alternative meno invasive non sono semplici allegati descrittivi.
A chi può interessare.
L’obbligo riguarda trattamenti che possono presentare un rischio elevato secondo il GDPR e i criteri pertinenti, non ogni attività che usa dati personali. La sola presenza di una nuova tecnologia non risolve la valutazione, così come una piccola dimensione aziendale non esclude automaticamente rischi elevati. Per l’Italia vanno controllati l’elenco del Garante e i relativi chiarimenti. Se rimane un rischio elevato non mitigato dalle misure individuate, il GDPR prevede la consultazione preventiva dell’Autorità prima di procedere, nei termini stabiliti dall’articolo 36.
I punti da capire.
- 01
La DPIA descrive il trattamento e valuta necessità, proporzionalità e rischi per le persone. Non coincide con la sola analisi dei danni economici che potrebbe subire l’organizzazione.
- 02
Le misure devono collegarsi ai rischi individuati: ridurre precisione, frequenza o durata della raccolta può essere più efficace che aggiungere una clausola all’informativa.
- 03
Il documento va riesaminato quando cambiano trattamento o rischi. Riutilizzare una vecchia valutazione senza confrontarla con il nuovo servizio può lasciare fuori funzioni decisive.
- 01Individua l’ambito
- 02Leggi le regole pertinenti
- 03Verifica sul tuo contesto
Il percorso orienta la lettura: non costituisce una verifica automatica di conformità.
Cosa verificare in pratica.
- Effettuare uno screening documentato prima dell’acquisto o del lancio, raccogliendo fatti su finalità, categorie di dati, persone coinvolte e modalità di osservazione.
- Coinvolgere le competenze tecniche e organizzative necessarie e chiedere il parere del DPO, se designato, mantenendo al titolare la responsabilità delle decisioni.
- Confrontare alternative e misure, registrare il rischio residuo e prevedere un riesame quando vengono aggiunte nuove fonti di dati o nuove capacità di analisi.
UN ESEMPIO PER ORIENTARSI
Dal principio alla situazione concreta.
Scenario ipotetico: un’impresa vuole introdurre un sistema che combina posizione dei mezzi e punteggi dei lavoratori. Prima di acquistarlo, descrive quali dati vengono raccolti, con quale frequenza e chi può vedere i risultati. Valuta se bastino indicatori aggregati o meno frequenti e considera le conseguenze di un errore sul dipendente. Verifica i criteri DPIA e gli altri vincoli del lavoro. La scelta tecnica viene così informata dai rischi, invece di usare la valutazione per giustificare un sistema già acquistato e configurato.
Scenario ipotetico a scopo divulgativo.Ambito, limiti e aggiornamenti.
La pagina EDPB è una raccolta tematica e non un elenco esaustivo di ogni trattamento soggetto a DPIA. Occorre consultare i documenti pertinenti e le autorità competenti. Il software di supporto o un modello compilato non dimostrano da soli l’adeguatezza dell’analisi. Anche una conclusione di non necessità va fondata sul trattamento reale e può richiedere riesame se le condizioni cambiano.
Valutare il rischio concreto e gli elenchi delle autorità nazionali. La DPIA non è automaticamente necessaria per ogni trattamento né una certificazione di conformità.
Le fonti ufficiali.
La scheda spiega il riferimento in termini divulgativi. Per applicarlo consulta il testo vigente, gli allegati, gli aggiornamenti e le disposizioni pertinenti.