Glossario
Che cos’è DPIA (valutazione d’impatto sulla protezione dei dati)?
La DPIA (Data Protection Impact Assessment, in italiano valutazione d’impatto sulla protezione dei dati) è l’analisi preventiva che il titolare deve svolgere quando un trattamento presenta un rischio elevato per i diritti e le libertà delle persone. È prevista dall’art. 35 del GDPR e va completata prima di iniziare il trattamento.
La DPIA non è un documento da produrre a posteriori per soddisfare un auditor: è una valutazione che deve precedere il trattamento, perché il suo scopo è decidere se e come procedere. Descrive le operazioni previste, ne valuta necessità e proporzionalità rispetto alla finalità, identifica i rischi per gli interessati e individua le misure per affrontarli. Se al termine il rischio residuo resta elevato nonostante le misure, il titolare deve consultare il Garante prima di procedere (art. 36 GDPR).
L’obbligo scatta nei tre casi tipizzati dall’art. 35.3 (valutazione sistematica e globale di aspetti personali basata su trattamento automatizzato, compresa la profilazione, con effetti giuridici; trattamento su larga scala di categorie particolari di dati o di dati giudiziari; sorveglianza sistematica su larga scala di zone accessibili al pubblico) e, più in generale, ogni volta che ricorrono almeno due dei nove criteri del WP248 del Gruppo di lavoro Articolo 29, recepiti dal Garante italiano nell’elenco dei trattamenti soggetti a valutazione d’impatto.
Il parere del DPO, quando designato, va richiesto e documentato. La DPIA va riesaminata quando cambia il rischio: nuove finalità, nuove tecnologie, nuovi destinatari, un cambio di fornitore che sposta i dati fuori dallo SEE. Una DPIA firmata tre anni fa e mai più aperta non copre il trattamento di oggi.
Domande frequenti
Che cosa significa la sigla DPIA?
DPIA è l’acronimo inglese di Data Protection Impact Assessment. In italiano il GDPR la chiama “valutazione d’impatto sulla protezione dei dati”; si trova anche come sigla VIP o come “valutazione d’impatto privacy”, che sono formulazioni informali dello stesso adempimento.
Quando è obbligatoria la DPIA?
Quando il trattamento può presentare un rischio elevato per i diritti e le libertà delle persone. L’art. 35.3 GDPR tipizza tre casi (profilazione con effetti giuridici, larga scala di dati particolari o giudiziari, sorveglianza sistematica di aree pubbliche); fuori da questi si applicano i nove criteri del WP248, e la regola pratica è che con due criteri soddisfatti la DPIA va fatta.
Chi deve fare la DPIA?
La responsabilità è del titolare del trattamento. Può avvalersi di consulenti esterni o del responsabile del trattamento per la parte tecnica, ma la valutazione resta sua e va firmata da lui. Se ha designato un DPO deve chiederne il parere e conservarne traccia.
Che differenza c’è tra DPA e DPIA?
Sono cose diverse che si confondono per l’assonanza. Il DPA (Data Processing Agreement) è il contratto ex art. 28 GDPR fra titolare e responsabile del trattamento. La DPIA è la valutazione d’impatto ex art. 35. Un fornitore può avere un DPA firmato e il trattamento richiedere comunque una DPIA.
Cosa succede se la DPIA non viene fatta?
L’omissione è sanzionabile fino a 10 milioni di euro o al 2% del fatturato mondiale annuo (art. 83.4 GDPR). Nella pratica il problema emerge quando serve dimostrare la conformità: in un’ispezione, dopo un data breach o durante la due diligence di un cliente.
Fonti: Art. 35 GDPR (Regolamento UE 2016/679) · Elenco del Garante dei trattamenti soggetti a valutazione d’impatto
Su questo ti affianchiamo: DPIA – Valutazione d’Impatto
Verificalo da solo: Serve una DPIA?
Termini collegati: DPO (Data Protection Officer) · Data breach (violazione di dati personali)