Valutazione d’Impatto sulla Privacy – GDPR

Lo strumento per una valutazione d’impatto sulla privacy (PIA) o valutazione d’impatto sulla protezione dei dati (DPIA) è stato introdotto con il Regolamento Generale sulla Protezione dei Dati (art. 35 del GDPR). Questo si riferisce all’obbligo del titolare del trattamento di effettuare una valutazione d’impatto e di documentarla prima di avviare il trattamento dei dati previsto. È possibile raggruppare la valutazione per diverse procedure di trattamento.

Fondamentalmente, una valutazione d’impatto sulla protezione dei dati deve essere sempre condotta quando il trattamento potrebbe comportare un rischio elevato per i diritti e le libertà delle persone fisiche. La valutazione deve essere effettuata soprattutto se uno degli esempi di regola stabiliti nell’Art. 35(3) del GDPR è pertinente. Al fine di specificare il linguaggio aperto della legge riguardo all’obbligo fondamentale di eseguire una valutazione di impatto sulla privacy, le autorità di controllo sono coinvolte. In una prima bozza, il Gruppo di Lavoro Articolo 29 ha creato un catalogo di dieci criteri che indicano che il trattamento comporta un rischio elevato per i diritti e le libertà di una persona fisica. Si tratta ad esempio di scoring/profilazione, decisioni automatiche che portano a conseguenze legali per i soggetti interessati, monitoraggio sistematico, trattamento di dati personali speciali, dati trattati su larga scala, la fusione o combinazione di dati raccolti da vari processi, dati su persone incapaci o con capacità di agire limitata, utilizzo di tecnologie più recenti o procedure biometriche, trasferimento di dati verso paesi al di fuori dell’UE/SEE e trattamento di dati che impedisce a coloro coinvolti di esercitare i loro diritti. Una valutazione d’impatto sulla privacy non è assolutamente necessaria se un’operazione di trattamento soddisfa solo uno di questi criteri. Tuttavia, se vengono soddisfatti diversi criteri, il rischio per gli interessati è previsto essere elevato e una valutazione d’impatto sulla protezione dei dati è sempre necessaria. In caso di dubbio e se è difficile determinare un rischio elevato, una DPIA dovrebbe comunque essere condotta. Questo processo deve essere ripetuto almeno ogni tre anni.

Inoltre, le autorità di controllo nazionali devono stabilire e pubblicare un elenco di operazioni di trattamento che richiedono sempre una valutazione d’impatto sulla protezione dei dati nella loro giurisdizione (elenco positivo). Sono anche libere di pubblicare un elenco di attività di trattamento che non richiedono specificamente una valutazione d’impatto sulla privacy (elenco negativo). Se un’azienda ha nominato un Responsabile della Protezione dei Dati, il suo parere deve essere preso in considerazione durante la conduzione di un DPIA. Come e secondo quali criteri vengono valutate le conseguenze e i rischi per gli interessati rimane in gran parte senza risposta. I primi modelli erano guidati dagli schemi di ispezione degli standard ISO o dal Modello Standard di Protezione dei Dati.