Una DPIA, ovvero una valutazione d'impatto sulla protezione dei dati, è un'analisi dei rischi che esegue in anticipo quando un trattamento di dati personali comporta probabilmente un rischio elevato per le persone i cui dati sono interessati. Il RGPD non obbliga questa analisi per ogni trattamento, ma specificamente per i trattamenti che per loro natura, portata, contesto o finalità possono avere un grande impatto — si pensi al monitoraggio su larga scala, alla profilazione sistematica o al trattamento di dati sensibili come i dati sanitari su larga scala.
Se la sua azienda deve eseguire una DPIA dipende da ciò che fa esattamente con i dati, non dalle dimensioni della sua azienda. Un libero professionista che installa telecamere su piccola scala in un negozio di solito non rientra in questo obbligo; un'azienda del settore medio che analizza il comportamento dei clienti su larga scala con software AI o seleziona candidati, è più probabile che rientri nell'obbligo di una DPIA obbligatoria. L'Autorità Garante per la protezione dei dati personali pubblica un elenco dei trattamenti per i quali questa analisi secondo lei è sempre necessaria; questo elenco è un buon punto di partenza per determinare se la sua situazione vi rientra.
Quando questo si applica alle PMI
La maggior parte delle aziende del settore medio evita una DPIA formale, semplicemente perché i loro trattamenti non hanno la scala o il livello di rischio che il RGPD intende. Tuttavia, ci sono situazioni in cui la questione diventa improvvisamente rilevante: l'introduzione del monitoraggio video con riconoscimento facciale, l'uso di un nuovo strumento AI che prende automaticamente decisioni sui clienti o sui dipendenti, oppure l'espansione di software esistente con cui improvvisamente raccoglie dati su scala molto più ampia rispetto a prima.
Non è quindi tanto il settore a determinare se una DPIA è necessaria, quanto il cambiamento in ciò che fa. Un ufficio risorse umane che passa a uno strumento di selezione con screening automatico dei curriculum farebbe bene a chiedersi se questo passaggio rientra nei criteri. Lo stesso vale per un responsabile dell'ufficio che considera di implementare un nuovo strumento SaaS che traccia il comportamento dei visitatori sul sito web e lo combina con altre fonti di dati.
Cosa deve contenere una DPIA
Una DPIA descrive sistematicamente cosa accade: quali dati vengono trattati, per quale scopo, su quale base legale, e chi può accedere ai dati. Successivamente, l'analisi mappare i rischi per gli interessati — cosa potrebbe andare male, e qual è la probabilità e l'impatto di ciò. L'ultima parte è la misura: quali step tecnici oppure organizzativi vengono adottati per ridurre questi rischi, e rimane ancora un rischio dopo queste misure che non può essere eliminato.
Questo ultimo punto è importante: se una DPIA rivela che anche dopo le misure rimane un rischio elevato, il RGPD prevede che lo sottoponga all'autorità di controllo prima di avviare il trattamento. Questa è un'eccezione, non un passaggio standard, ma è anche il motivo per cui una DPIA non è qualcosa che compila successivamente.
Il rapporto con il registro delle attività di trattamento
Una DPIA non è isolata dal resto della sua amministrazione RGPD. Il trattamento per il quale esegue l'analisi deve anche trovare posto in la banca dati dove i rischi per ogni trattamento sono elaborati, in modo che rimanga chiaro quali trattamenti hanno bisogno di attenzione extra e quali no. Chi ha già in ordine il registro delle attività di trattamento, spesso vede da solo quali trattamenti per scala o sensibilità sono più vicini alla soglia della DPIA rispetto ad altri.
È anche un buon momento per controllare nuovamente gli accordi di trattamento che si riferiscono a questo trattamento dei dati: una parte esterna che tratta i dati per cui state considerando una DPIA è spesso anche la parte presso la quale i rischi maggiori emergono se qualcosa va male. Proprio come nel caso di una possibile violazione dei dati, è utile sapere in anticipo dove vi trovate piuttosto che dover scoprire in seguito esattamente cosa è stato concordato.
E se dubbiate
Il confine tra "probabilmente non è necessaria una DPIA" e "meglio analizzare prima" non è sempre netto, e il GDPR lascia deliberatamente spazio per una valutazione autonoma. In caso di dubbio, è consigliabile consultare le linee guida dell'Autorità Garante per la protezione dei dati personali o chiedere a un avvocato di esaminare la vostra situazione specifica. Questa pagina descrive l'orientamento generale del Regolamento; non è un sostituto di tale parere.
Volete prima farvi un'idea di come i vostri stessi trattamenti si rapportano alla valutazione del rischio che il GDPR utilizza? Fate una scansione rapida gratuita o scorrete le domande frequenti sul registro e sul suo monitoraggio per vedere quale passo è più appropriato per la vostra azienda.