Source: https://datipersonali.eu/dpia-valutazione-dimpatto-sulla-protezione-dei-dati/
Timestamp: 2020-01-19 07:19:41+00:00

Document:
DPIA valutazione d’impatto sulla protezione dei dati – Dati Personali BG Srl
A cura di Mario Ponte
Il Regolamento UE 2016/679 “GDPR” pienamente in vigore in tutti gli Stati Membri dell’Unione Europea a partire dal 25 maggio 2018, ha introdotto, per il tramite delle disposizioni di cui all’articolo 35, l’istituto della “valutazione d’impatto sulla protezione dei dati” o “data protection impact assesment” (cd. “DPIA”). Tale istituto altro non è che un processo volto a descrivere un trattamento di dati personali, valutarne la necessità e la proporzionalità, nonché gestirne gli eventuali rischi per i diritti e le libertà delle persone fisiche da esso derivanti, effettuando una valutazione del livello del rischio e determinando le misure idonee a mitigarlo. Il DPIA va inquadrato come uno strumento essenziale e fondamentale per tutti i titolari e responsabili del trattamento al fine di dar corso al nuovo approccio alla protezione dei dati personali voluto dal legislatore comunitario e fortemente basato sul principio della responsabilizzazione (cd. accountability principle).
L’articolo 35, comma 1, del GDPR prevede che il processo di DPIA sia obbligatorio quando un trattamento di dati personali “presenti un rischio elevato per i diritti e le libertà delle persone fisiche”. Sul punto, al fine di assicurare un’interpretazione coerente delle circostanze in cui risulta obbligatorio lo svolgimento di un DPIA, il gruppo di lavoro ex articolo 29 (gruppo di lavoro a cui fanno parte tutte le Authority Privacy di ciascun Stato Membro dell’Unione Europea c.d. “WP-29”) pubblicò il 4 aprile 2017 un documento contenente le linee guida per lo svolgimento di un DPIA chiarendo il concetto espresso dal primo comma dell’articolo 35. In particolare, il riferimento a “diritti e libertà” degli interessati riguarda principalmente i diritti alla protezione dei dati e alla vita privata, ma include anche altri diritti fondamentali quali la libertà di parola, la libertà di pensiero, la libertà di circolazione, il divieto di discriminazione, il diritto alla libertà di coscienza e di religione. Ad ogni modo si precisa che, qualora dovesse risultare poco chiaro se una situazione richieda o meno lo svolgimento del DPIA, la raccomandazione del WP-29 è quella di effettuarlo comunque, in quanto risulta essere, in ogni caso, uno strumento utile per i titolari del trattamento al fine di rispettare la legge in materia di protezione dei dati.
Sebbene un DPIA possa essere richiesto anche in altre circostanze, l’articolo 35, comma 3, del GDPR fornisce alcuni esempi di casi nei quali un trattamento di dati personali “possa presentare rischi elevati”: (a) una valutazione sistematica e globale di aspetti personali relativi a persone fisiche, basata su un trattamento automatizzato, compresa la profilazione, e sulla quale si fondano decisioni che hanno effetti giuridici o incidono in modo analogo significativamente su dette persone fisiche; (b) il trattamento, su larga scala, di categorie particolari di dati personali (articolo 9 del GDPR) o di dati relativi a condanne penali e a reati (cfr. articolo 10 del GDPR); (c) la sorveglianza sistematica su larga scala di una zona accessibile al pubblico.
Elenco una serie di considerazioni, non esaustive, di quali sono alcuni criteri di valutazione per capire se sia necessario o meno redigere un DPIA
Al fine di fornire un insieme più concreto di trattamenti di dati personali che richiedono un DPIA in virtù del loro rischio elevato intrinseco, si devono considerare almeno questi nove criteri:
1)valutazione o assegnazione di un punteggio, inclusiva di profilazione e previsione, in particolare in considerazione di aspetti riguardanti il rendimento professionale, la situazione economica, la salute, le preferenze o gli interessi personali, l’affidabilità o il comportamento, l’ubicazione o gli spostamenti dell’interessato (cfr. Considerando 71 e 91 del GDPR);
3)monitoraggio sistematico: trattamento utilizzato per osservare, monitorare o controllare gli interessati, ivi inclusi i dati raccolti tramite reti o “la sorveglianza sistematica su larga scala di una zona accessibile al pubblico” (cfr. articolo 35, comma 3, lettera c del GDPR);
5) trattamento di dati su larga scala: nella determinazione del concetto di larga scala il WP-29 raccomandava di considerare i seguenti elementi: a. il numero di soggetti interessati dal trattamento, in termini assoluti ovvero espressi in percentuale della popolazione di riferimento; b. il volume dei dati e/o le diverse tipologie di dati oggetto di trattamento; c. la durata, ovvero la persistenza, dell’attività di trattamento; d. la portata geografica dell’attività di trattamento;
9)quando il trattamento in sé “impedisce agli interessati di esercitare un diritto o di avvalersi di un servizio o di un contratto” (cfr. articolo 22 e considerando 91 del GDPR).
In generale, il WP-29 ritienne che maggiore è il numero di criteri soddisfatti dal trattamento, più è probabile che sia presente un rischio elevato per i diritti e le libertà degli interessati e, di conseguenza, che sia necessario un DPIA, indipendentemente dalle misure che il titolare del trattamento ha previsto di adottare. Ciononostante, in alcuni casi, un titolare del trattamento può ritenere che un trattamento che soddisfa soltanto uno di questi criteri richieda lo svolgimento di un DPIA. Contrariamente, un trattamento può corrispondere ai casi di cui sopra ed essere comunque considerato dal titolare del trattamento un trattamento tale da non “presentare un rischio elevato”. In tali casi il titolare del trattamento dovrà necessariamente giustificare e documentare i motivi che lo hanno spinto a non effettuare un DPIA nonché allegare il parere del responsabile della protezione dei dati (cd. “DPO”) qualora nominato.
Il WP-29 ritienne inoltre che un DPIA non sia richiesto nei seguenti casi:
-quando il trattamento non è tale da “presentare un rischio elevato per i diritti e le libertà delle persone fisiche”;
-quando la natura, l’ambito di applicazione, il contesto e le finalità del trattamento sono molto simili a un trattamento per il quale è già stato svolto un DPIA;
-quando le tipologie di trattamento sono state verificate da un’autorità di controllo prima del maggio 2018 in condizioni specifiche che non hanno subito modifiche;
-qualora un trattamento trovi una base giuridica nel diritto dell’Unione o nel diritto dello Stato membro, tale diritto disciplini il trattamento specifico o sia già stata effettuata una valutazione d’impatto sulla protezione dei dati nel contesto dell’adozione di tale base giuridica;
-qualora il trattamento sia incluso nell’elenco facoltativo (stabilito dall’autorità di controllo) delle tipologie di trattamento per le quali non è richiesta alcuna valutazione d’impatto sulla protezione dei dati.
Lo svolgimento di un DPIA è necessariamente prodromico al porre in essere l’attività di trattamento ipotizzata (cfr. articolo 35, comma 1 e 10, e considerando 90 e 93 del GDPR). Un tale approccio risulta pienamente coerente con i principi di protezione dei dati fin dalla progettazione e di protezione per impostazione predefinita (cd. Privacy by design e Privacy by default – cfr. articolo 25 e considerando 78 del GDPR). Il DPIA va quindi considerato come uno strumento volto a contribuire al processo decisionale in materia di trattamento dei dati personali da parte di un titolare del trattamento e da un responsabile del trattamento.
Per quanto riguarda le operazioni di trattamento preesistenti, l’obbligo di svolgere un DPIA si applica alle operazioni di trattamento di dati personali che possono presentare un rischio elevato per i diritti e le libertà delle persone fisiche e per le quali vi è stata una variazione dei rischi, tenendo conto della natura, dell’ambito di applicazione, del contesto e delle finalità del trattamento.
UNA CONSIDERAZIONE IMPORTANTE : la realizzazione di un DPIA costituisce un processo continuativo e non un esercizio una tantum.
Il soggetto obbligato ad effettuare un DPIA è il titolare del trattamento con il supporto del DPO, se nominato, e del responsabile del trattamento eventualmente coinvolto. Al titolare del trattamento spetta, quindi, di assicurare che il DPIA venga eseguito assumendosene l’intera responsabilità. Il titolare del trattamento è tenuto a consultarsi con il DPO, qualora designato, e dovrà attenersi al parere ricevuto. Il DPO dovrà monitorare lo svolgimento del DPIA e fornire il suo parere per iscritto che sarà determinante ai fini dell’esito positivo o meno del processo di DPIA.
Nello svolgimento del DPIA, il titolare del trattamento dovrà altresì raccogliere le opinioni degli interessati o dei loro rappresentanti. A tal proposito il WP-29 ritienne che: 1) tali opinioni possono essere raccolte attraverso una varietà di mezzi, a seconda del contesto, assicurando che il titolare del trattamento disponga di una base giuridica valida per il trattamento di qualsiasi dato personale interessato nel raccogliere dette opinioni; 2) qualora la decisione finale del titolare del trattamento si discosti dalle opinioni degli interessati, le sue motivazioni a sostegno del procedere o meno vanno documentate; 3) il titolare del trattamento deve altresì documentare la sua giustificazione per la mancata raccolta delle opinioni degli interessati, qualora decida che ciò non sia appropriato.
-la natura, l’ambito di applicazione, il contesto e le finalità del trattamento sono presi in considerazione;
•informazioni fornite all’interessato;
-l’origine, la natura, la particolarità e la gravità dei rischi o, più in particolare, per ciascun rischio vengono determinate dalla prospettiva degli interessati:
•sono individuati gli impatti potenziali per i diritti e le libertà degli interessati in caso di eventi che includono l’accesso illegittimo, la modifica indesiderata e la scomparsa dei dati;
-l’indisponibilità dei dati
Nel valutare l’impatto di un trattamento va tenuto conto del rispetto di un codice di condotta. Ciò può essere utile per dimostrare che sono state scelte o messe in atto misure adeguate, a condizione che il codice di condotta sia adeguato all’operazione di trattamento interessata. Devono essere presi in considerazione anche certificazioni, sigilli e marchi al fine di dimostrare la conformità rispetto al regolamento generale sulla protezione dei dati dei trattamenti effettuati dai titolari del trattamento e dai responsabili del trattamento (cfr. articolo 42 del GDPR), nonché rispetto alle norme vincolanti d’impresa.
Ogni qualvolta il titolare del trattamento non sia in grado di trovare misure sufficienti per ridurre i rischi a un livello accettabile (ossia i rischi residui restano comunque elevati) o nel caso in cui il DPO lo ritenga utile sarà necessario consultare l’Autorità Garante al fine di ottenerne un parere che sarà vincolante.
Non esiste un obbligo di pubblicare l’esito di un DPIA, tuttavia pubblicarne una sintesi potrebbe favorire la fiducia e la valutazione d’impatto sulla protezione dei dati completa deve essere comunicata all’autorità di controllo in caso di consultazione preventiva o su richiesta da parte delle autorità competenti per la protezione dei dati.
In tema di DPIA, il GDPR prevede che l’inosservanza dei requisiti stabiliti per il DPIA può portare a sanzioni pecuniarie imposte dall’autorità di controllo competente. La mancata esecuzione di un DPIA nei casi in cui il trattamento è soggetto allo stesso, l’esecuzione in maniera errata del DPIA oppure la mancata consultazione dell’autorità di controllo laddove richiesta, possono comportare una sanzione amministrativa pecuniaria molto elevata.

References: articolo 29
 articolo 10
 articolo 35
 articolo 22
 articolo 35
 articolo 25
 articolo 42