Serve una valutazione d’impatto?
In due passi — i casi dell’art. 35.3 e i nove criteri del WP248 recepiti dal Garante — scopri se il tuo trattamento richiede una DPIA.
Approfondimento
Serve una DPIA? Quando la valutazione d’impatto è obbligatoria
La valutazione d’impatto sulla protezione dei dati (DPIA, art. 35 GDPR) è obbligatoria prima di iniziare un trattamento che può presentare un rischio elevato per i diritti e le libertà delle persone. Il GDPR indica all’art. 35.3 alcuni casi in cui è sempre richiesta — profilazione con decisioni automatizzate, trattamento su larga scala di dati particolari o giudiziari, sorveglianza sistematica di aree pubbliche — mentre le linee guida europee (WP248) individuano nove criteri di rischio: quando ne ricorrono almeno due, la DPIA è necessaria.
Questo strumento ti guida attraverso i casi dell’art. 35.3 e i nove criteri del WP248, recepiti in Italia dal Garante con il provvedimento 467/2018, e ti dice se per il tuo trattamento la DPIA è obbligatoria, necessaria, consigliata o non necessaria. Non sostituisce la valutazione condotta con il DPO sul trattamento reale, ma ti dà un orientamento immediato. Ricevi l’esito in PDF via email.
Verifica se ti serve un DPO Fai il Quiz GDPR Richiedi supporto per la DPIA
Domande frequenti sulla DPIA
Che cos’è la DPIA?
La DPIA (valutazione d’impatto sulla protezione dei dati, art. 35 GDPR) è un’analisi preventiva dei rischi che un trattamento comporta per i diritti e le libertà degli interessati, con l’individuazione delle misure per mitigarli. Va svolta prima di iniziare il trattamento.
Quando è obbligatoria la DPIA?
È obbligatoria quando il trattamento può presentare un rischio elevato (art. 35.1) e in particolare nei tre casi dell’art. 35.3. Secondo il WP248 e il Garante, la DPIA è inoltre richiesta quando ricorrono almeno due dei nove criteri di rischio individuati dalle linee guida.
Bastano due criteri del WP248 per dover fare la DPIA?
Sì: il ricorrere di due o più dei nove criteri è indice di un trattamento ad alto rischio per cui la DPIA è richiesta (Garante, provv. 467/2018, che richiama il WP248). In alcuni casi anche un solo criterio può rendere opportuna la valutazione.
Cosa succede se non svolgo la DPIA quando è obbligatoria?
La mancata effettuazione della DPIA quando dovuta è una violazione soggetta a sanzione amministrativa fino a 10 milioni di euro o al 2% del fatturato mondiale annuo, oltre a rilievi in caso di ispezione del Garante.
Chi deve svolgere la DPIA?
La responsabilità è del titolare del trattamento, che si avvale del parere del DPO se designato. La DPIA va riesaminata quando cambiano i rischi o le caratteristiche del trattamento.