Un’analisi preventiva, non un documento a posteriori
La valutazione impatto privacy, chiamata DPIA, analizza le conseguenze di un trattamento per le persone. È richiesta quando il trattamento può presentare un rischio elevato, considerando natura, oggetto, contesto e finalità. L’utilizzo di nuove tecnologie può essere rilevante, ma non è l’unico elemento.
La valutazione deve precedere l’avvio. Scriverla dopo l’installazione di un sistema limita la possibilità di modificare il progetto. Perciò, chi acquista tecnologie dovrebbe coinvolgere tempestivamente il referente privacy e, quando designato, il DPO.
Riconoscere i trattamenti che richiedono attenzione
L’articolo 35 cita casi specifici, come determinate valutazioni sistematiche basate su trattamenti automatizzati. Comprende inoltre trattamento su larga scala di categorie particolari di dati o dati penali. Un altro caso è la sorveglianza sistematica su larga scala di aree accessibili al pubblico.
Bisogna considerare anche gli elenchi pubblicati dall’autorità e i criteri delle linee guida. Non basta affermare che l’impresa sia piccola. Un’organizzazione di dimensioni contenute può adottare un sistema molto invasivo.
Descrivere progetto e flussi
La DPIA deve partire da una descrizione concreta del trattamento. Quali persone sono coinvolte? Quali informazioni vengono raccolte? Quali sistemi, fornitori e destinatari intervengono? Senza queste risposte, la valutazione resta astratta.
Occorre poi chiarire finalità e necessità. Se un obiettivo può essere raggiunto con una soluzione meno invasiva, il progetto va riesaminato. L’analisi non deve servire soltanto a giustificare una scelta già considerata definitiva.
Valutare i rischi per le persone
La perdita economica aziendale non è l’unico rischio. Un trattamento può causare discriminazione, esposizione di informazioni riservate o limitazioni dei diritti. La valutazione deve considerare probabilità e gravità delle conseguenze per gli interessati.
Inoltre, bisogna esaminare l’intero ciclo del dato. Raccolta, utilizzo, condivisione e cancellazione possono introdurre rischi diversi. Anche una decisione basata su informazioni inesatte può avere effetti significativi, pur senza un attacco informatico.
Individuare misure e responsabilità
Le misure devono rispondere ai rischi rilevati. Possono comprendere riduzione dei dati, limiti agli accessi, controlli umani, protezioni tecniche e procedure per i diritti. Per ciascuna azione occorre definire un responsabile e una modalità di verifica.
Successivamente si valuta il rischio residuo. Se rimane un rischio elevato in assenza di misure sufficienti a mitigarlo, si applica la consultazione preventiva prevista dall’articolo 36. Il DPO, quando presente, fornisce il proprio parere; la responsabilità del trattamento resta al titolare.
Mantenere la valutazione nel tempo
Una DPIA non dovrebbe restare immutata se il sistema cambia. Nuovi dati, funzioni analitiche o destinatari possono modificare il rischio. Occorre riesaminare la valutazione quando necessario, almeno quando cambia il rischio del trattamento.
Per esempio, una telecamera inizialmente utilizzata per proteggere un ingresso può essere dotata successivamente di funzioni analitiche. Non si può presumere che la valutazione precedente copra automaticamente la nuova funzione. Il cambiamento deve essere esaminato prima dell’attivazione.
Coinvolgere chi conosce il processo
La DPIA richiede contributi organizzativi e tecnici. Il reparto utilizzatore spiega l’obiettivo; i tecnici descrivono sistemi e flussi; il referente privacy coordina i requisiti. Quando designato, il DPO deve essere consultato secondo l’articolo 35.
Le informazioni del fornitore possono essere utili, ma non sostituiscono la valutazione del contesto aziendale. Lo stesso prodotto può essere impiegato con dati, persone e finalità differenti. Un documento standard del venditore non dimostra quindi che il progetto concreto sia stato esaminato.
Occorre raccogliere le evidenze necessarie e distinguere elementi certi da ipotesi. Se un punto decisivo resta sconosciuto, la valutazione deve segnalarlo. Approvare il progetto su presupposti non verificati può rendere inefficaci anche misure apparentemente adeguate.
Collegare valutazione e decisione
La direzione dovrebbe conoscere rischi, alternative e condizioni per procedere. Le misure previste devono essere attuate prima del trattamento quando necessarie alla sua liceità e sicurezza. Non conviene elencarle come semplici intenzioni senza responsabilità e scadenze.
Prima dell’avvio, un controllo deve verificare le condizioni effettivamente realizzate. Dopo l’avvio, il monitoraggio può individuare problemi non emersi durante la progettazione. La DPIA rimane così collegata al ciclo del servizio. Il suo valore consiste nell’aiutare a decidere e modificare il trattamento, non soltanto nel produrre un documento formalmente completo.
Domande frequenti
Ogni azienda deve redigere una DPIA?
No. L’obbligo riguarda trattamenti con i presupposti previsti dal GDPR e dagli atti applicabili, non tutte le attività indistintamente.
Il DPO approva il trattamento al posto della direzione?
No. Il DPO fornisce consulenza e sorveglia il processo nei suoi compiti. La decisione e la responsabilità restano al titolare.
La DPIA va inviata sempre al Garante?
No. La consultazione preventiva opera nelle condizioni dell’articolo 36. La DPIA deve comunque essere disponibile e documentata correttamente.
Il supporto di MODI S.R.L.
MODI S.R.L. integra documentazione privacy GDPR, sicurezza delle informazioni e Modello 231 in un unico sistema, con un solo piano di audit e formazione.
Corsi e-learning MODI® per formare il personale:
- Corso e-learning sulla privacy (GDPR) per il personale aziendale – corso base, 1 ora
- Corso e-learning sulla privacy (GDPR) per titolari e responsabili autorizzati al trattamento dei dati – corso avanzato, 3 ore
- Corso e-learning cyber security per lavoratori: prevenire gli attacchi informatici – corso base, 1 ora
Per una proposta personalizzata o un incontro conoscitivo con i consulenti MODI S.R.L. (sedi a Mestre e Spinea): compila il modulo di contatto.
Per ricevere una consulenza personalizzata, contattaci al numero verde 800300333. Il catalogo dei corsi in e-learning con relativo programma cliccare qui. Puoi anche scriverci all’indirizzo e-mail modi@modiq.it.
Maggiori informazioni sono disponibili sui siti web:
www.consulenzasicurezzaveneto.it;
www.consulenzaprivacyregolamentoue679.it;
www.consulenzacertificazioneiso37001.it.
A cura di MODI SRL – Società di consulenza e formazione.
Responsabile editoriale: Francesca Quintavalle, referente del servizio Clienti numero verde 800300333.
Risponde alle domande più frequenti sui Sistemi di Gestione per la Sicurezza, Qualità, Ambiente e Privacy. Dal 1998 MODI SRL.
Fonti e riferimenti
GDPR, articoli 35 e 36; elenco del Garante dei trattamenti soggetti a DPIA e linee guida europee applicabili.
