DPIA Data Protection Impact Assessment.

Quando è richiesta una DPIA, e quando non lo è

Una Valutazione d'Impatto sulla Protezione dei Dati non è un adempimento formale che si produce per ogni progetto. Il GDPR la lega a un unico fattore scatenante: un trattamento che può presentare un rischio elevato per i diritti e le libertà delle persone fisiche. Il testo cita alcune situazioni in cui la valutazione è obbligatoria, come la profilazione sistematica e approfondita che produce effetti giuridici o effetti significativi analoghi, il trattamento su larga scala di categorie particolari di dati e la sorveglianza sistematica su larga scala di una zona accessibile al pubblico. Le autorità di controllo nazionali pubblicano poi i propri elenchi delle operazioni che richiedono sempre una DPIA, e elenchi di operazioni che non la richiedono.

In pratica si parte da una verifica preliminare. Confrontate con il trattamento un breve elenco di criteri di rischio, del tipo pubblicato dal Comitato europeo per la protezione dei dati, e contate quanti si applicano. Combinazioni come la valutazione o l'attribuzione di un punteggio unite a un processo decisionale automatizzato, oppure i dati sensibili uniti a un trattamento su larga scala, vi fanno superare la soglia. Quando la risposta è incerta, la posizione difendibile consiste nel documentare perché avete concluso che una DPIA completa non era necessaria, e non nell'eludere silenziosamente la questione.

Cosa contiene la valutazione

Il GDPR fissa un contenuto minimo. Una DPIA deve contenere una descrizione sistematica delle operazioni di trattamento e delle finalità, una valutazione della necessità e della proporzionalità del trattamento in relazione a tali finalità, una valutazione dei rischi per i diritti e le libertà degli interessati, e le misure previste per affrontare tali rischi, comprese le garanzie e le misure di sicurezza. La CNIL mette a disposizione gratuitamente un software PIA che vi guida esattamente attraverso questa struttura, e non c'è motivo di ricostruirla da zero.

La necessità e la proporzionalità sono il punto in cui la maggior parte delle valutazioni risulta carente. Si tratta di un test giuridico, non di sicurezza: ogni campo di dati è realmente necessario per la finalità dichiarata, il periodo di conservazione è giustificato, esiste una base giuridica, i diritti degli interessati sono garantiti. L'analisi del rischio è la parte di taglio più vicino alla sicurezza, e attinge direttamente alla pratica della gestione del rischio. È qui che ISO 27005 ed EBIOS Risk Manager vi forniscono il vocabolario delle minacce, degli eventi temuti, della probabilità e della gravità. Una DPIA valuta il rischio per le persone i cui dati sono trattati, non il rischio per l'organizzazione, ed è questa la distinzione su cui si inciampa.

Chi la effettua, e come resta viva

Il titolare del trattamento è responsabile dell'effettuazione della DPIA. Qualora sia designato un Responsabile della Protezione dei Dati, il titolare del trattamento deve consultarlo, e il DPO di norma riesamina la valutazione e ne monitora lo svolgimento. Dovreste inoltre raccogliere il parere degli interessati o dei loro rappresentanti, ove opportuno. I responsabili del trattamento hanno il dovere di assistere. Se, dopo la mitigazione, il rischio residuo resta elevato e non potete ridurlo, il GDPR impone la consultazione preventiva dell'autorità di controllo prima dell'avvio del trattamento.

Una DPIA è un documento vivo. Il titolare del trattamento deve riesaminarla quando si verifica una variazione del rischio rappresentato dal trattamento, per esempio un nuovo flusso di dati, una nuova tecnologia, una nuova finalità o un nuovo sub-responsabile. Trattatela come un'attività continua: un ritmo utile consiste nel riesaminare le valutazioni secondo un ciclo definito e ogniqualvolta la progettazione cambia, anziché archiviarle una volta per tutte e dimenticarle.