Privacy: cos'è e come si utilizza la DPIA

Dott. Alessandro Pagliuca - La valutazione di impatto rappresenta una delle principali novità del GDPR e uno dei principali esempi di responsabilizzazione (anche detta Accountability) per i Titolari del trattamento per valutare il rischio connesso ai trattamenti di dati personali. Per questo è importante chiarire cos'è una valutazione di impatto, quando debba essere condotta - anche alla luce del provvedimento del Garante per la protezione dei dati personali del 10 ottobre 2018 - e da chi, quali strumenti possano eventualmente essere utilizzati e in quali casi occorra consultare preventivamente l'autorità di controllo.

• La valutazione di impatto
• Chi è tenuto a fare la valutazione d'impatto
• Valutazione svolta da terzi

La valutazione di impatto

[Torna su]

Quando un trattamento può comportare un rischio elevato per i diritti e le libertà degli interessati (i casi possono essere molti e molto diversi tra loro - si veda più oltre - ma comprendono il monitoraggio sistematico dei loro comportamenti, o per il gran numero di interessati di cui sono magari trattati dati particolari o giudiziari, o anche per una combinazione di questi e altri fattori), il Titolare del trattamento deve svolgere una valutazione di impatto prima di darvi inizio, consultando l'autorità di controllo se le misure tecniche e organizzative individuate per mitigare l'impatto del trattamento non sono ritenute sufficienti, perché possono

residuare rischi elevati per i diritti e le libertà degli interessati.

Chi è tenuto a fare la valutazione d'impatto

[Torna su]

Il Titolare del trattamento, che potrà avvalersi della collaborazione di vari soggetti all'interno della sua organizzazione, in base alle aree maggiormente coinvolte e alle caratteristiche del trattamento, o all'esterno.

Nel caso in cui vi sia un Responsabile della protezione dei dati (DPO) il Titolare del trattamento deve consultarsi con il DPO, il quale su richiesta, fornisce supporto nella valutazione e deve vigilare sulla conduzione della valutazione.

Si badi però che non è compito del DPO condurre la valutazione, ma solo fornire consulenza.

In particolare, il Titolare è tenuto a confrontarsi con il DPO almeno sui seguenti punti:

- necessità della valutazione d'impatto;

- metodologia;

- individuazione del soggetto incaricato alla valutazione (se interno o esterno);

- misure tecniche e organizzative per ridurre i rischi del trattamento;

- valutazione sulla modalità di conduzione della DPIA.

Valutazione svolta da terzi

[Torna su]

In alcuni casi, la valutazione potrà essere svolta da terzi, ad esempio i produttori di prodotti di tecnologia (per valutare l'impatto del proprio prodotto e rendere disponibile tale valutazione alla propria clientela quando l'uso del prodotto sia suscettibile di un utilizzo piuttosto uniforme). Tuttavia, si tratterà solo di una facilitazione offerta ai Titolari del trattamento, i quali restano comunque tenuti a svolgere la propria valutazione d'impatto in relazione allo specifico utilizzo che sarà di quel prodotto; nel condurre tale analisi i Titolari del trattamento potranno però avvalersi delle informazioni fornite da una valutazione analoga preparata dal fornitore del prodotto.

Dott. Alessandro Pagliuca

Esperto in Diritto della Privacy

alessandropagliuca12@gmail.com

• Foto: 123rf.com