Che cos’è la DPIA e quando va fatta?
Anche: Data Protection Impact Assessment · Valutazione d’impatto sulla protezione dei dati
Definizione
La DPIA (Data Protection Impact Assessment) è la valutazione d’impatto sulla protezione dei dati prevista dall’art. 35 del GDPR. Va svolta prima di iniziare un trattamento che può presentare un rischio elevato per i diritti e le libertà delle persone, per descriverlo, valutarne necessità e rischi e decidere le misure che li riducono.
Redazione Enterprise Srl · Aggiornato il
In breve
- Riferimento
- art. 35 GDPR (consultazione preventiva: art. 36)
- Elenco italiano dei casi
- Garante privacy, provvedimento dell’11 ottobre 2018
- Quando
- prima di iniziare il trattamento, poi riesaminata
Quando è obbligatoria
Il GDPR la richiede in particolare per: valutazioni sistematiche e globali basate su trattamenti automatizzati, compresa la profilazione, che producono effetti significativi sulle persone; trattamenti su larga scala di categorie particolari di dati; sorveglianza sistematica su larga scala di zone accessibili al pubblico.
Il Garante ha pubblicato l’elenco dei trattamenti per cui in Italia serve sempre, tra cui trattamenti tramite tecnologie innovative, monitoraggio sistematico dei lavoratori e trattamenti su larga scala di dati di soggetti vulnerabili. Le linee guida europee indicano inoltre nove criteri: se un trattamento ne soddisfa almeno due, la DPIA è in genere necessaria.
Cosa contiene
- Descrizione sistematica del trattamento e delle sue finalità.
- Valutazione di necessità e proporzionalità.
- Analisi dei rischi per le persone (non solo per l’azienda).
- Misure previste per affrontarli, comprese quelle di sicurezza.
Si consulta il DPO, se nominato. Se dopo le misure il rischio resta elevato, prima di procedere va consultato il Garante (art. 36).
DPIA e nuovi progetti
Introdurre un sistema di intelligenza artificiale, videosorveglianza o geolocalizzazione dei veicoli aziendali sono casi tipici in cui chiedersi se serve una DPIA. Farla all’inizio del progetto costa meno che rimediare dopo, e spesso cambia scelte tecniche importanti.