quando sono obbligato a condurre una valutazione di impatto

Un DPIA è obbligatorio per il trattamento ad alto rischio

Un DPIA — una valutazione d'impatto sulla protezione dei dati — è obbligatorio quando un trattamento comporta probabilmente un rischio elevato per i diritti e le libertà delle persone i cui dati sono trattati. Non si tratta di un elenco fisso di attività identiche ovunque, ma di una valutazione che inizia dalla natura, dall'ambito, dal contesto e dallo scopo del trattamento. Il trattamento su larga scala di dati sensibili, il monitoraggio strutturale e sistematico di persone in un luogo accessibile al pubblico, e i trattamenti che portano a decisioni automatizzate con conseguenze significative, sono esempi spesso citati come situazioni in cui un rischio elevato è probabile.

Per un libero professionista ordinario o un'azienda PMI che mantiene dati dei clienti, dati del personale o un sistema contabile, un DPIA obbligatorio di solito non è richiesto — questi trattamenti di solito non sono su larga scala o sistematici abbastanza da essere considerati ad alto rischio. Non appena si lavora con, ad esempio, dati sanitari su scala maggiore, videosorveglianza in spazi pubblici, o profilazione che ha conseguenze per gli individui, il quadro cambia. Chi dubita che un trattamento rientri in quella categoria può fondare al meglio quella valutazione sulla stessa panoramica che viene costruita anche per il registro dei trattamenti è già documentato per ogni trattamento quale siano lo scopo, l'ambito e i dati coinvolti, e questa è esattamente l'informazione di cui una valutazione del rischio ha bisogno.

Su cui si basa: articolo 6 RGPD e l'autorità di controllo

L'obbligo di condurre un DPIA deriva dal RGPD e è collegato alla base giuridica dell'articolo 6 RGPD: solo se è già stata stabilita una base giuridica legittima per il trattamento, la domanda successiva è rilevante se quel trattamento comporta anche un rischio elevato. Le autorità di controllo forniscono ulteriori chiarimenti su quali trattamenti sono in pratica considerati ad alto rischio; nei Paesi Bassi l'Autorità per la protezione dei dati lo fa con propri elenchi e chiarimenti, mentre l'autorità di controllo in un altro Stato membro può seguire un elenco leggermente diverso — ciò che rimane uguale ovunque è la norma del regolamento stesso, ciò che differisce è l'applicazione nazionale di quali trattamenti rientrino. Chi dubita se la sua azienda, per l'ambito del trattamento, abbia bisogno di un responsabile separato della protezione dei dati, trova un punto di partenza in la spiegazione sull'obbligo DPO, perché queste due domande — DPIA e DPO — spesso si collegano con la stessa scala e valutazione dei rischi del trattamento.