DPIA: obbligatoria quando il trattamento comporta un rischio elevato

Una valutazione d’impatto sulla protezione dei dati (DPIA) è un processo strutturato volto a individuare e ridurre al minimo i rischi per la protezione dei dati prima dell’inizio del trattamento. Non è una buona pratica facoltativa: l’articolo 35 del GDPR la rende obbligatoria ogniqualvolta il trattamento possa presentare un rischio elevato per i diritti e le libertà delle persone. Tra i fattori che comunemente fanno scattare tale obbligo figurano la sorveglianza sistematica delle persone (ad esempio mediante telecamere a circuito chiuso in un centro commerciale), il trattamento su larga scala di categorie particolari di dati (salute, dati biometrici, opinioni politiche) o l’impiego di nuove tecnologie secondo modalità innovative (ad esempio la profilazione mediante IA per la valutazione del merito creditizio). Il contrasto fondamentale è il seguente: un trattamento a basso rischio, come una newsletter per il personale, non richiede una DPIA, mentre un trattamento ad alto rischio la richiede sempre.

Per riconoscere rapidamente una domanda sulla DPIA, cercate nello scenario parole chiave quali «sistematico», «su larga scala», «dati sensibili» o «nuova tecnologia». Se il trattamento comporta la profilazione, il tracciamento della posizione o la valutazione delle persone (ad esempio delle prestazioni lavorative), ciò rappresenta un segnale d’allarme indicativo di un rischio elevato. Un utile metodo di eliminazione: se tra le opzioni la DPIA è indicata come facoltativa, tale opzione è quasi certamente errata quando i fatti mostrano un rischio elevato. Un altro suggerimento: la DPIA deve essere effettuata prima dell’inizio del trattamento, non dopo che si è verificata una violazione; un’insidia relativa alla cronologia potrebbe quindi cercare di presentarla come una misura reattiva.

Ricordate il fattore scatenante con la parola «ALTO»: A per applicazioni innovative, L per larga scala, T per trattamento di dati sanitari o biometrici, O per operazioni di profilazione ad alto rischio. Se è presente uno di questi elementi, la DPIA è obbligatoria, non semplicemente auspicabile. Per mettervi alla prova, chiedetevi: «Questo trattamento susciterebbe in una persona ragionevole preoccupazioni per la propria vita privata?». Se la risposta è sì, è necessaria una DPIA.