La Valutazione d'Impatto sulla Protezione dei Dati (DPIA — Data Protection Impact Assessment) è uno degli strumenti chiave del GDPR per gestire i trattamenti ad alto rischio. Il Garante per la Protezione dei Dati Personali ha pubblicato un elenco specifico dei trattamenti che richiedono una DPIA in Italia. Ecco come condurla correttamente.
Quando la DPIA è obbligatoria
L'articolo 35 del GDPR prevede la DPIA quando un trattamento può comportare un rischio elevato per i diritti e le libertà delle persone. Il GDPR indica tre scenari espliciti:
- Valutazione sistematica e globale di aspetti personali basata su trattamento automatizzato (profilazione con effetti giuridici)
- Trattamento su larga scala di categorie particolari di dati (sanitari, biometrici, genetici) o dati relativi a condanne penali
- Sorveglianza sistematica di una zona accessibile al pubblico su larga scala
Lista del Garante italiano
Il Garante pubblica un elenco nazionale; i casi seguenti sono indicatori da verificare rispetto alla versione vigente, non sostituiscono l’elenco ufficiale:
| Trattamento da valutare | Indicatore di rischio |
|---|---|
| Trattamenti valutativi o di scoring su larga scala | Profilazione + decisioni automatizzate |
| Trattamenti automatizzati per decisioni con effetti giuridici | Impatto sui diritti degli interessati |
| Monitoraggio sistematico (videosorveglianza, geolocalizzazione) | Sorveglianza su larga scala |
| Trattamento di dati biometrici per identificazione | Categorie particolari |
| Trattamento di dati genetici | Categorie particolari |
| Trattamento di dati sanitari su larga scala | Rischio elevato per interessati vulnerabili |
| Uso innovativo di tecnologie (IA, IoT, riconoscimento facciale) | Nuove tecnologie con rischi sconosciuti |
| Trattamenti che impediscono l'esercizio di un diritto | Impatto diretto sui diritti fondamentali |
Il test delle due condizioni
Se non siete certi, applicate il test del Gruppo di Lavoro Articolo 29 (ora EDPB). Due criteri indicano generalmente la necessità di una DPIA; uno solo può bastare secondo il rischio e le liste nazionali:
- Valutazione o scoring (profilazione)
- Decisioni automatizzate con effetti giuridici
- Monitoraggio sistematico
- Dati sensibili o di natura particolarmente personale
- Trattamento su larga scala
- Combinazione o incrocio di dataset
- Dati relativi a soggetti vulnerabili (minori, dipendenti, pazienti)
- Uso innovativo di tecnologie
- Trattamento che impedisce l’esercizio di un diritto o l’accesso a un servizio o contratto
Metodologia DPIA in 7 fasi
Fase 1: Descrizione del trattamento
Documentate in modo dettagliato:
- Natura: quali operazioni di trattamento (raccolta, conservazione, profilazione, condivisione)
- Ambito: categorie di dati, volume, area geografica
- Contesto: relazione con gli interessati, aspettative ragionevoli
- Finalità: obiettivo del trattamento
trattamento:
nome: "Sistema di scoring clienti"
titolare: "Azienda S.r.l."
natura:
- Raccolta dati comportamentali dal sito web
- Analisi automatizzata dei pattern di acquisto
- Assegnazione di un punteggio di affidabilità
ambito:
dati: ["storico acquisti", "comportamento online", "dati anagrafici"]
volume: "~50.000 clienti"
area: "Italia"
contesto: "E-commerce B2C, clienti non si aspettano profilazione"
finalita: "Personalizzazione offerte e gestione del credito"
Fase 2: Valutazione della necessità e proporzionalità
Verificate che il trattamento sia:
- Necessario: non esistono alternative meno invasive per raggiungere lo stesso obiettivo
- Proporzionato: i dati raccolti sono i minimi necessari
- Basato su una base giuridica valida: consenso informato, legittimo interesse bilanciato, ecc.
- Trasparente: gli interessati sono informati
Fase 3: Identificazione dei rischi
Per ogni rischio, valutate:
| Rischio | Probabilità | Gravità | Livello |
|---|---|---|---|
| Accesso non autorizzato ai dati di scoring | Media | Alta | Alto |
| Errore nell'algoritmo → decisione ingiusta | Bassa | Molto alta | Alto |
| Fuga di dati verso terze parti | Bassa | Alta | Medio |
| Uso dei dati per finalità non previste | Media | Media | Medio |
| Impossibilità di esercitare diritti | Bassa | Alta | Medio |
Fase 4: Valutazione dei rischi
Matrice di rischio:
| Gravità bassa | Gravità media | Gravità alta | Gravità molto alta | |
|---|---|---|---|---|
| Probabilità alta | Medio | Alto | Molto alto | Molto alto |
| Probabilità media | Basso | Medio | Alto | Molto alto |
| Probabilità bassa | Basso | Basso | Medio | Alto |
| Probabilità trascurabile | Trascurabile | Basso | Basso | Medio |
Fase 5: Misure di mitigazione
Per ogni rischio alto o molto alto, definite misure concrete:
| Rischio | Misura | Rischio residuo |
|---|---|---|
| Accesso non autorizzato | MFA + crittografia + logging | Basso |
| Errore algoritmo | Audit periodico + supervisione umana | Basso |
| Fuga dati | DPA con fornitori + monitoraggio | Basso |
| Uso non previsto | Policy interna + formazione | Basso |
| Diritti bloccati | Procedura automatizzata + contact point | Basso |
Fase 6: Consultazione
- DPO: parere obbligatorio se nominato
- Interessati: consultazione raccomandata (sondaggi, focus group)
- Garante: consultazione preventiva obbligatoria se il rischio residuo resta elevato nonostante le misure
Fase 7: Documentazione e revisione
La DPIA è un documento vivo:
- Conservate tutta la documentazione
- Pianificate revisioni periodiche secondo il rischio; l’articolo 35 non impone una scadenza annuale
- Aggiornate la DPIA a ogni modifica significativa del trattamento
Errori comuni nelle DPIA italiane
DPIA troppo generica — "I rischi sono bassi e le misure sono adeguate" non è una DPIA. Servono rischi specifici, misure concrete e valutazioni documentate.
DPIA fatta una volta e dimenticata — Se il trattamento evolve, la DPIA deve essere aggiornata. Un nuovo algoritmo, un nuovo fornitore, un nuovo tipo di dato = revisione.
Non coinvolgere il DPO — Se avete un DPO, il suo parere sulla DPIA è obbligatorio. La sua assenza dalla procedura è una non conformità.
Confondere DPIA con analisi dei rischi IT — La DPIA è focalizzata sui rischi per gli interessati, non sui rischi per l'azienda. La perdita di dati è un rischio DPIA perché impatta gli interessati, non perché impatta il fatturato.
Consultazione preventiva del Garante
Se dopo la DPIA il rischio residuo resta elevato e non riuscite a mitigarlo con misure ragionevoli, dovete consultare il Garante prima di procedere con il trattamento (Art. 36 GDPR).
L’articolo 36 prevede fino a otto settimane per il parere (prorogabili di sei nei casi complessi, salve le sospensioni previste); consultate l’autorità prima di procedere al trattamento ad alto rischio.
Conclusione
La DPIA non è un documento burocratico — è uno strumento di decisione. Vi costringe a pensare ai rischi prima che diventino incidenti e a documentare le vostre scelte. In un contesto regolamentare sempre più stringente, è il miglior investimento in prevenzione.
WarDek produce risultati tecnici parziali sulla URL; non determina la necessità di DPIA né i rischi residui per gli interessati. Prova una scansione tecnica.