Valutazione d'impatto sulla protezione dei dati (DPIA)
DPIA per trattamenti ad alto rischio: dati sanitari, profilazione, sistemi automatizzati, biometria, videosorveglianza su larga scala.
01
Quando è obbligatoria una DPIA
La DPIA (Data Protection Impact Assessment) è obbligatoria quando un trattamento può presentare un rischio elevato per i diritti e le libertà delle persone. Il Garante italiano ha pubblicato un elenco di casi in cui è sempre obbligatoria: trattamenti su larga scala di dati sanitari, sistemi di profilazione automatizzata, biometria, videosorveglianza estesa, monitoraggio sistematico di aree pubbliche, dati di minori in contesti scolastici, sistemi di intelligenza artificiale che incidono sulla persona.
02
Metodologia
Utilizziamo la metodologia delle linee guida WP248 del Gruppo articolo 29: descrizione sistematica del trattamento, valutazione della necessità e proporzionalità, identificazione dei rischi per gli interessati, misure di mitigazione adottate o da adottare, consultazione del DPO se nominato.
03
Output utilizzabile
Il documento DPIA è strutturato per essere subito presentato al Garante se richiesto e per essere aggiornato nel tempo. Include una matrice di rischio dettagliata, un piano di mitigazione con responsabili e scadenze, un giudizio motivato sulla residualità del rischio post-mitigazione.
04
Aggiornamento e mantenimento
La DPIA va aggiornata quando cambia significativamente il trattamento o quando si introducono nuove tecnologie. La manteniamo nel tempo come parte del sistema di gestione privacy.
Altri servizi privacy
Art. 13 / 14 GDPR
Redazione informative privacy GDPR
Informative privacy conformi al GDPR per ogni punto di raccolta dati: sito web, form, contratti, dipendenti, marketing, videosorveglianza.
Art. 30 GDPR
Registro dei trattamenti GDPR
Il Registro delle attività di trattamento è il documento centrale del sistema privacy. Lo costruiamo, lo manteniamo, lo aggiorniamo con cadenza periodica.
Art. 28 GDPR
Nomine Responsabili esterni del trattamento (DPA)
Contratti di nomina a Responsabile del trattamento (DPA - Data Processing Agreement) per fornitori che trattano dati personali per tuo conto.
Domande frequenti
Domande frequenti sulla DPIA
01 Quando la valutazione d'impatto è obbligatoria?
Quando il trattamento può presentare un rischio elevato per i diritti delle persone. L’art. 35 del GDPR indica tre casi tipici: profilazione con effetti significativi, trattamento su larga scala di dati particolari, sorveglianza sistematica di aree accessibili al pubblico. Le autorità nazionali pubblicano poi un elenco di trattamenti che la richiedono comunque, e conviene partire da quello.
02 Chi la firma?
Il titolare del trattamento, quindi l’azienda. Il DPO, se c’è, dà il proprio parere e il parere va messo agli atti. Il consulente costruisce l’analisi e la documenta, ma la decisione su quali rischi accettare resta di chi dirige l’azienda: è una scelta di gestione, non una scelta tecnica.
03 Quanto dura una DPIA?
Da due a quattro settimane per un singolo trattamento, comprese le interviste a chi lo esegue e il confronto con i fornitori coinvolti. Il nostro riferimento di prezzo è 1.400-3.500 euro a trattamento, e la forbice dipende quasi tutta da quanto è documentato il sistema in partenza.
04 E se il rischio resta elevato anche dopo le misure?
Allora scatta la consultazione preventiva dell’art. 36: prima di iniziare, il trattamento va sottoposto all’autorità di controllo. Succede di rado, perché nella maggior parte dei casi le misure riportano il rischio sotto la soglia. Quando succede, avviare comunque il trattamento è la decisione peggiore possibile.
05 La DPIA scade?
Non ha una scadenza fissa, ma va riesaminata quando cambia il rischio: una tecnologia nuova, una finalità nuova, un fornitore nuovo, un incidente. Una revisione ogni due anni è comunque una buona prassi, se non altro per verificare che le misure previste siano state davvero attuate.