DPIA: quando è obbligatoria e chi deve farla

La valutazione d'impatto sulla protezione dei dati (DPIA) è obbligatoria quando un tipo di trattamento «può presentare un rischio elevato per i diritti e le libertà delle persone fisiche», e va fatta prima di iniziare il trattamento: è la regola dell'art. 35, paragrafo 1, del Regolamento (UE) 2016/679. Il paragrafo 3 indica tre casi in cui è richiesta in ogni caso (profilazione con decisioni che incidono sulle persone, categorie particolari di dati o dati giudiziari su larga scala, sorveglianza sistematica su larga scala di zone accessibili al pubblico). Il Garante ha aggiunto un elenco di dodici tipologie con il provvedimento n. 467 dell'11 ottobre 2018, pubblicato nella Gazzetta Ufficiale n. 269 del 19 novembre 2018. Fuori da questi elenchi vale un criterio pratico: se il trattamento presenta due o più dei nove criteri delle linee guida WP 248 rev. 01, la DPIA è richiesta.

La deve fare il titolare del trattamento. Non può delegare la responsabilità: può farsi aiutare da consulenti, ma la valutazione resta sua. Se ha designato un responsabile della protezione dei dati, deve consultarlo (art. 35, par. 2); il responsabile del trattamento (il fornitore che tratta i dati per suo conto) è tenuto ad assisterlo per contratto (art. 28, par. 3, lett. f). Se la DPIA mostra un rischio residuo elevato che le misure non riescono ad attenuare, il titolare deve consultare il Garante prima di procedere (art. 36).

Quali trattamenti la rendono obbligatoria per legge

L'art. 35 lavora su tre livelli, e conviene tenerli distinti perché hanno una forza diversa.

Il primo livello sono questi tre casi: se il trattamento ci rientra, la discussione è chiusa. Il secondo livello è l'elenco del Garante, adottato in base al paragrafo 4. Il terzo è la clausola generale del paragrafo 1, che resta in vigore anche quando un trattamento non compare in nessun elenco: lo stesso provvedimento del Garante precisa che l'elenco «non è esaustivo» e che le previsioni del paragrafo 1 «prevalgono in ogni caso».

L'Allegato 1 al provvedimento elenca dodici tipologie. In sintesi:

N.	Tipologia di trattamento	Esempio tipico
1	Valutazione o scoring su larga scala, profilazione, attività predittive	rating di affidabilità dei clienti
2	Decisioni automatizzate con effetti giuridici o analoghi	screening dei clienti di una banca tramite centrale rischi
3	Osservazione, monitoraggio o controllo sistematico degli interessati, anche on-line	tracciamento delle abitudini d'uso di un servizio web
4	Dati di carattere estremamente personale su larga scala	dati di ubicazione, dati finanziari, comunicazioni elettroniche
5	Sistemi tecnologici nel rapporto di lavoro da cui deriva la possibilità di controllo a distanza dei dipendenti	videosorveglianza o geolocalizzazione dei mezzi aziendali
6	Trattamenti non occasionali di dati di soggetti vulnerabili	minori, pazienti, anziani, richiedenti asilo
7	Tecnologie innovative, quando ricorre almeno un altro criterio WP 248	IoT, sistemi di intelligenza artificiale, dispositivi wearable
8	Scambio di dati su larga scala fra titolari diversi, con modalità telematiche	flussi fra enti o fra società di un gruppo
9	Interconnessione, combinazione o raffronto di informazioni	incrocio di dati di consumo digitali con dati di pagamento
10	Dati dell'art. 9 o dell'art. 10 interconnessi con dati raccolti per altre finalità	dati sanitari incrociati con dati commerciali
11	Trattamenti sistematici di dati biometrici	rilevazione presenze con impronta digitale
12	Trattamenti sistematici di dati genetici	biobanche e studi genetici di ricerca

Il punto 5 è quello che riguarda più imprese di quanto si pensi: qualunque sistema da cui derivi la possibilità di controllo a distanza dei lavoratori rientra nell'elenco, a prescindere dall'intenzione di usarlo a quel fine.

Il Garante ha poi pubblicato, nella sua pagina dedicata alla DPIA, un chiarimento interpretativo che pochi citano: le espressioni «sistematici» e «non occasionali» dei punti 6, 11 e 12 vanno ricondotte al criterio della larga scala del WP 248, e i «dati biometrici» del punto 11 sono quelli trattati per identificare univocamente una persona fisica. Un trattamento biometrico episodico e circoscritto, quindi, non rientra automaticamente nel punto 11, anche se resta da valutare con i criteri generali.

Il criterio dei nove indicatori, quando l'elenco non basta

Per i trattamenti che non compaiono negli elenchi, il riferimento sono le linee guida WP 248 rev. 01 del Gruppo di lavoro Articolo 29, fatte proprie dal Comitato europeo per la protezione dei dati il 25 maggio 2018. Il provvedimento del Garante le richiama esplicitamente e ne riporta i nove criteri:

1. valutazione o assegnazione di un punteggio, compresa profilazione e previsione;
2. processo decisionale automatizzato con effetti giuridici o analoghi;
3. monitoraggio sistematico degli interessati;
4. dati sensibili o di carattere altamente personale;
5. trattamento su larga scala;
6. creazione di corrispondenze o combinazione di insiemi di dati;
7. dati di interessati vulnerabili;
8. uso innovativo o applicazione di nuove soluzioni tecnologiche od organizzative;
9. trattamento che impedisce agli interessati di esercitare un diritto o di avvalersi di un servizio o di un contratto.

La regola operativa è questa: due o più criteri presenti = DPIA richiesta. Le stesse linee guida ammettono che in taluni casi anche un solo criterio possa giustificarla, e la decisione spetta al titolare.

Sulla «larga scala» il Regolamento non dà una definizione. Il WP 248 indica quattro fattori: numero di interessati, in assoluto o in percentuale della popolazione di riferimento; volume e varietà dei dati; durata o persistenza del trattamento; portata geografica. Il considerando 91 dà un'indicazione in negativo che interessa direttamente molti lettori di questa pagina: il trattamento dei dati di pazienti o clienti da parte di un singolo medico, operatore sanitario o avvocato non dovrebbe essere considerato su larga scala, e in quei casi la DPIA non dovrebbe essere obbligatoria. Il considerando parla del singolo professionista: una struttura sanitaria o uno studio associato con migliaia di fascicoli va valutato con i quattro fattori.

Chi la fa, chi dà il parere, chi assiste

L'obbligo è del titolare, e la tabella mostra come si distribuiscono i ruoli.

Figura	Che cosa fa	Fonte
Titolare del trattamento	decide se serve, la effettua prima del trattamento, ne risponde, la riesamina	art. 35 par. 1 e 11
DPO, se designato	viene consultato; fornisce, se richiesto, un parere e sorveglia lo svolgimento della valutazione	art. 35 par. 2, art. 39 par. 1 lett. c
Responsabile del trattamento	assiste il titolare negli obblighi degli artt. 32-36, secondo il contratto	art. 28 par. 3 lett. f
Interessati o loro rappresentanti	se del caso, il titolare ne raccoglie le opinioni	art. 35 par. 9
Garante	riceve la consultazione preventiva se il rischio residuo resta elevato	art. 36

Il parere del DPO conviene sempre metterlo per iscritto, insieme alla decisione del titolare quando se ne discosta e alle ragioni per cui lo fa. Nel catalogo Legisboard la DPIA e il parere del DPO sono due adempimenti distinti, assegnati a ruoli diversi:

C'è un solo caso di esonero previsto dal Regolamento: il paragrafo 10 esclude l'obbligo quando il trattamento si fonda su un obbligo legale o su un compito di interesse pubblico (art. 6, par. 1, lett. c ed e), la norma che lo prevede disciplina quel trattamento specifico e una valutazione d'impatto è già stata fatta al momento di adottarla. Riguarda soprattutto le pubbliche amministrazioni, e non le esonera se lo Stato membro ritiene necessaria una valutazione prima del trattamento.

Che cosa deve contenere, e quando va rifatta

Il paragrafo 7 fissa il contenuto minimo: una descrizione sistematica dei trattamenti e delle finalità, compreso l'eventuale interesse legittimo; la valutazione della necessità e della proporzionalità; la valutazione dei rischi per i diritti e le libertà degli interessati; le misure previste per affrontarli, comprese garanzie e misure di sicurezza. Una DPIA ridotta a un'analisi dei rischi informatici non soddisfa l'articolo: il Garante ricorda che il rischio da valutare è quello complessivo per i diritti delle persone, non solo la sicurezza dei dati.

Sulla durata, il Regolamento non fissa una scadenza. Il paragrafo 11 chiede un riesame «almeno quando insorgono variazioni del rischio rappresentato dalle attività relative al trattamento»: un nuovo fornitore, una nuova categoria di dati, una nuova finalità, una tecnologia diversa. Le linee guida WP 248, richiamate dal Garante, descrivono la DPIA come un processo soggetto a revisione continua e non come un adempimento una tantum. Un riesame periodico programmato è buona organizzazione, non un termine di legge.

Se la DPIA conclude che il rischio residuo resta elevato, il titolare consulta il Garante prima di iniziare. L'art. 36, par. 2 dà all'autorità otto settimane dal ricevimento della richiesta per un parere scritto, prorogabili di sei settimane per i trattamenti complessi; i termini possono essere sospesi finché l'autorità non riceve le informazioni che ha chiesto. Alla richiesta va allegata la DPIA (par. 3, lett. e).

Che cosa si rischia senza DPIA

La violazione degli articoli 35 e 36 rientra nell'art. 83, par. 4, lett. a: sanzione amministrativa fino a 10 milioni di euro o, per le imprese, fino al 2% del fatturato mondiale annuo dell'esercizio precedente, se superiore. È il massimo edittale: l'importo concreto dipende dagli elementi del paragrafo 2 (gravità, durata, numero di interessati, misure adottate, cooperazione). Nella prassi, la DPIA mancante si accompagna quasi sempre ad altre violazioni (base giuridica e informativa, che ricadono nella fascia più alta del paragrafo 5; misure di sicurezza, nella stessa fascia del paragrafo 4).

Il rischio più frequente, però, è un altro: una DPIA fatta dopo l'avvio del trattamento, o una DPIA mai aggiornata dopo un cambiamento sostanziale. In entrambi i casi il documento esiste ma non prova ciò che dovrebbe provare.

Cosa fare in pratica

1. Partite dal registro dei trattamenti (art. 30) e, per ciascun trattamento, verificate nell'ordine: art. 35 par. 3, elenco del Garante, nove criteri WP 248.
2. Scrivete l'esito anche quando è negativo, con i criteri esaminati e la motivazione.
3. Per ogni DPIA necessaria, consultate il DPO prima di chiuderla e conservate il suo parere con la decisione del titolare.
4. Collegate la DPIA agli eventi che ne impongono il riesame: cambi di fornitore, di tecnologia, di finalità, di volume.
5. Valutate la consultazione preventiva se il rischio residuo resta elevato, e non iniziate il trattamento prima di averla conclusa.

Le cadenze degli altri adempimenti del titolare, del responsabile e del DPO sono raccolte nella pagina sugli adempimenti GDPR. Sulla qualificazione di un trattamento specifico, e in particolare sulla soglia della larga scala o sull'opportunità di consultare il Garante, serve il parere di un professionista che conosca il caso.