La DPIA (Data Protection Impact Assessment), cioè la valutazione d’impatto sulla protezione dei dati, è prevista dall’art. 35 del Regolamento (UE) 2016/679 (GDPR). Questo strumento descrive un trattamento, ne valuta necessità e proporzionalità e, soprattutto, stima i rischi per i diritti e le libertà delle persone. Di conseguenza, una DPIA fatta bene porta a misure concrete per ridurre quei rischi, non a un documento “da archiviare”.

Il GDPR lavora “a rischio”, non “a moduli”

Il GDPR imposta la conformità come gestione del rischio, quindi non basta compilare moduli standard. Il Titolare deve individuare le minacce, stimare probabilità e impatto e applicare misure tecniche e organizzative adeguate. In pratica, la DPIA trasforma “so che potrei avere un problema” in “ho deciso cosa fare, perché l’ho deciso e con quali controlli lo dimostro”.

Quando la DPIA diventa obbligatoria

La DPIA è necessaria quando un trattamento è probabilmente ad alto rischio per le persone. L’art. 35 richiama alcuni casi tipici, tra cui:

• valutazioni sistematiche basate su processi automatizzati (per esempio la profilazione) con effetti significativi;

• trattamenti su larga scala di categorie particolari di dati;

• sorveglianza sistematica su larga scala di aree accessibili al pubblico.

Inoltre, in Italia il Garante ha pubblicato un elenco di tipologie di trattamenti per cui è richiesta la DPIA.

Quando conviene farla anche senza un obbligo esplicito

Anche se non esiste un vincolo “formale”, la DPIA resta utile quando cambiano condizioni che spostano il rischio. Per esempio, ha senso impostarla se introduci una nuova tecnologia, cambi fornitore o architettura, ampli i dati o le finalità, aumenti la scala (più sedi, più utenti, più categorie di dati) oppure rilevi incidenti ricorrenti o criticità organizzative.

In questi casi, una DPIA “volontaria” riduce l’incertezza e rafforza l’accountability, perché documenta scelte e motivazioni prima che arrivi un reclamo o un data breach.

Come si costruisce una DPIA che regge in caso di controlli

Una DPIA efficace non deve restare teorica. Deve collegare in modo chiaro trattamento, rischi e misure. In genere funziona quando include:

• descrizione del trattamento (dati, finalità, sistemi, ruoli, fornitori);

• valutazione di necessità e proporzionalità (perché quei dati e non altri, tempi di conservazione, accessi);

• analisi dei rischi per gli interessati con scenari realistici;

• misure di mitigazione e controlli (gestione accessi, log, cifratura, procedure, formazione);

• decisione finale e piano di riesame.

Le linee guida WP29/EDPB aiutano a capire quando un trattamento è “likely high risk” e quali criteri usare per motivare la scelta.

Errori comuni che fanno “saltare” la DPIA

Spesso il problema non è la teoria, ma l’operatività. Tra gli errori che indeboliscono una DPIA ricorrono:

• copia-incolla da un’altra realtà, senza adattamento a processi e sistemi effettivi;

• misure elencate ma non applicate, quindi senza evidenze (log, procedure, registrazioni);

• ruoli confusi tra Titolare, Responsabili esterni e amministratori di sistema;

• rischio sottostimato perché mancano scenari concreti (furto credenziali, accessi interni impropri, backup non protetti).

DPIA unica o riusabile

Una DPIA può coprire più trattamenti “simili” solo se tecnologia, finalità e rischi risultano davvero comparabili. Tuttavia, riusare una valutazione esistente ha senso solo dopo un controllo serio del contesto: infrastruttura, accessi, fornitori, volumi e categorie di dati cambiano spesso l’esito.

Sanzioni: cosa rischi se ometti la DPIA quando era dovuta

Se la DPIA era obbligatoria e non viene svolta, il GDPR prevede sanzioni amministrative che possono arrivare fino a 10 milioni di euro o al 2% del fatturato annuo mondiale, a seconda di quale importo sia maggiore (art. 83).

La responsabilità della DPIA resta in capo al Titolare. Nei trattamenti complessi, però, conviene lavorare con consulenti capaci di collegare rischio, misure e prove di attuazione.

MODI S.R.L. (sedi a Mestre e Spinea) affianca le aziende nella documentazione privacy prevista dal Regolamento (UE) 2016/679, nello svolgimento della DPIA con un risk assessment aderente alla realtà operativa e, se necessario, nell’assunzione dell’incarico di DPO.

Numero Verde: 800 300 333