DPIA (Data Protection Impact Assessment)
La valutazione d’impatto sulla protezione dei dati: uno strumento fondamentale per identificare e minimizzare i rischi secondo l’Articolo 35 GDPR.
La valutazione d’impatto sulla protezione dei dati (DPIA) rappresenta uno strumento fondamentale per garantire la conformità con il GDPR, tutelando i diritti e le libertà delle persone fisiche. Questo articolo esplora in dettaglio cosa sia una DPIA, quando è obbligatoria, chi deve eseguirla e come condurla correttamente, in linea con l’Articolo 35 del GDPR e le linea guida del Gruppo Articolo 29, ora European Data Protection Board (EDPB). Come evidenziato dal Garante per la protezione dei dati personali, la DPIA rappresenta “uno degli elementi di maggiore rilevanza nel nuovo quadro normativo, perché esprime chiaramente la responsabilizzazione (accountability) dei titolari nei confronti dei trattamenti da questi effettuati”. I titolari sono infatti tenuti non soltanto a garantire l’osservanza delle disposizioni del regolamento, ma anche a dimostrare adeguatamente in che modo garantiscono tale conformità. Una singola DPIA può essere impiegata per valutare più operazioni di trattamento che si presentano in maniera simile per natura, ambito, contesto, finalità e rischi. Le DPIA, infatti, hanno l’obiettivo di analizzare in modo sistematico nuove situazioni che potrebbero comportare rischi elevati per i diritti e le libertà delle persone fisiche; pertanto, non è necessario condurre una DPIA per operazioni (cioè, trattamenti svolti in un contesto e per una finalità specifici) già oggetto di analisi.
Un caso pratico, come delineato dalle Linee Guida, potrebbe riguardare un gruppo di enti comunali che, istituendo ciascuno un sistema di videosorveglianza simile, può affidarsi a un’unica DPIA per coprire il trattamento effettuato dai vari controllori; oppure un operatore ferroviario (controllore unico) che gestisce la videosorveglianza in tutte le proprie stazioni conducendo una DPIA valida per tutti i sistemi installati. A patto, però, che l’infrastruttura tecnologica a supporto degli impianti di videosorveglianza, nonché le modalità di trattamento dei dati siano sostanzialmente identiche in qualunque stazione. Questo approccio può essere esteso anche ad operazioni di trattamento analoghe realizzate da diversi titolari del trattamento. In tali circostanze, è opportuno che una DPIA di riferimento sia condivisa o resa accessibile al pubblico, che le misure in essa descritte vengano effettivamente implementate e che venga fornita una giustificazione adeguata all’adozione di una singola DPIA.
Quando è obbligatoria la DPIA
Il GDPR stabilisce che la DPIA è obbligatoria quando un trattamento “può presentare un rischio elevato per i diritti e le libertà delle persone fisiche”, come declinato dall’articolo 35 comma 1 del GDPR. In situazioni in cui non è chiaro se sia necessaria una DPIA, il WP29 raccomanda comunque di procedere con la sua realizzazione, poiché la DPIA rappresenta uno strumento utile per aiutare i titolari del trattamento a conformarsi alla normativa sulla protezione dei dati. Anche se risulta complesso enumerare tutti i casi in cui sia richiesta una DPIA, l’Articolo 35, para 3, fornisce alcuni esempi di quando un’operazione di trattamento è “probabile che comporti rischi elevati”: (a) una valutazione sistematica ed estesa degli aspetti personali relativi alle persone fisiche, basata su trattamenti automatizzati, inclusa la profilazione, e sulla quale si fondano decisioni che producono effetti giuridici nei confronti della persona fisica o che incidono in modo altrettanto significativo su di essa (art.35 c.3 p.a GDPR); b) il trattamento su larga scala di categorie particolari di dati di cui all’articolo 9, paragrafo 1 (Trattamento di Categorie Particolari di Dati), o di dati personali relativi a condanne penali e reati di cui all’articolo 10 (Trattamento dei dati personali relativi a condanne penali e reati) (art.35 c.3 p.b GDPR).
Chi è il responsabile della DPIA?
La responsabilità di effettuare una DPIA ricade principalmente sul Titolare del trattamento. L’articolo 35 del GDPR stabilisce che “il titolare del trattamento, prima di procedere al trattamento, effettua una valutazione dell’impatto dei trattamenti previsti sulla protezione dei dati personali”. Come specificato nelle linee guida del WPP29, la DPIA dovrebbe essere condotta dal titolare del trattamento, coadiuvato dal responsabile della protezione dei dati (anche detto DPO), se designato. La consultazione di tutte le figure coinvolte è essenziale per garantire una valutazione completa ed efficace. Nella decisione sulla realizzazione e nello svolgimento della DPIA è solito consultare un DPO/RDP (Data protection officer/Responsabile per la protezione dei dati) inoltre, se il trattamento lo richiede, può acquisire pareri di esperti, tecnici e in particolare del responsabile della sicurezza dei sistemi informativi (Chief Information Security Officer, acronimo CISO) e del responsabile IT (che in italia viene anche definito Amministratore di Sistema), da allegare alla DPIA. Il titolare, se lo ritiene necessario, può inoltre acquisire anche il parere degli interessati o dei loro rappresentanti. Questo può avvenire solo nel momento in cui non pregiudichi gli interessi commerciali o pubblici dell’azienda o ente che procede e non si mettano a rischio i trattamenti che sono oggetto di analisi della DPIA (come definito dall’Arti. 35 c.9 GDPR).
Procedura per la valutazione d’impatto privacy
La DPIA deve seguire un processo strutturato che permetta di identificare, valutare e gestire efficacemente i rischi. Le Linee guida del Gruppo di Lavoro Articolo 29, adottate il 4 aprile 2017 e modificate il 4 ottobre 2017, suggeriscono una procedura in più fasi e chiariscono che la DPIA va interpretata come un processo soggetto a revisione continua piuttosto che come un adempimento una tantum. Esistono inoltre diversi framework di DPIA che sono stati realizzati dalle diverse autorità nazionali della protezione dei dati. Una DPIA ben strutturata quindi dovrebbe includere i seguenti step.
-
01Valutazione della necessità e proporzionalitàdeterminate rispetto all’art. 35 par.7 lett. b) del GDPR
-
02Liceità del Trattamentoai sensi dell’art. 6, comma 1, lett. f) del GDPR
-
03Descrizione sistematica dei trattamenti previstinatura, ambito, contesto e finalità del trattamento
-
04Gestione dei rischiidentificati i rischi e le potenziali minacce che possono riguardare gli interessati