Source: https://www.slideshare.net/GDPRDay/gdpr-day-2019-valutazione-di-impatto-perch-quando-e-come-farla
Timestamp: 2019-06-18 17:04:02+00:00
Document Index: 6538764

Matched Legal Cases: ['art. 29', 'art. 32', 'art. 35', 'art. 35', 'art. 35', 'art. 35', 'art. 35', 'art. 9', 'art. 10', 'art. 35', 'art. 22', 'art. 35', 'art. 35', 'art. 35', 'art. 35', 'art. 35', 'art. 28', 'art. 35', 'art. 35', 'art. 35', 'art. 35', 'art. 35', 'art. 5', 'art. 6', 'art. 5', 'art. 5', 'art. 28', 'art. 36', 'art. 35', 'art. 35', 'art. 35', 'art. 35', 'art. 35']

The AI Rush by Jean-Baptiste Dumont 1524643 views
Avv. Massimiliano Nicotra, Avvocato specializzato su Privacy e GDPR, Membro Coordinatore della sezione Privacy e Compliance del Centro di ricerche economiche e giuridiche all’Università di Roma “Torvergata”, Docente del corso di alta formazione “Data Protection Officer e sicurezza informatica” all’Università di Roma “Torvergata”, Data Protection Officer di Subito.it, InfoJobs.it, Pagomeno.it, nonché del Gruppo Alkemy e della Net Service S.p.A. Autore di numerosi articoli sul Regolamento Europeo – Contributor del commentario sul GDPR pubblicato da “Guida al diritto”, edizioni Sole24Ore
Francesca Dimitri , Auditor interno presso Gamma Group at Auditor interno
1. LE METODOLOGIE DI VALUTAZIONE D’IMPATTO SULLA PROTEZIONE DEI DATI E DPIA Avv. Massimiliano Nicotra
2. Riferimenti: • Art. 35 del Regolamento GDPR (considerando 89, 90, 91, 92) • Linee-guida concernenti la valutazione di impatto sulla protezione dei dati nonché i criteri per stabilire se un trattamento “possa presentare un rischio elevato” ai sensi del regolamento 2016/679 - documento WP art. 29 del 4/4/2017 emendato 4/10/2017
3. Cosa: • Valutazione del rischio: art. 32 sulla Sicurezza • Valutazione di impatto: art. 35 Valuto il rischio di trattamenti che sto effettuando Valuto l’impatto di un trattamento sui diritti e libertà delle persone
4. Quando: Quando un tipo di trattamento, allorché prevede in particolare l'uso di nuove tecnologie, considerati la natura, l'oggetto, il contesto e le finalità del trattamento, può presentare un rischio elevato per i diritti e le libertà delle persone fisiche… (art. 35) Quali diritti e libertà? privacy ed altri diritti fondamentali quali la libertà di espressione e di pensiero, la libertà di movimento, il divieto di discriminazioni, il diritto alla libertà di coscienza e di religione diritto alla vita, diritto al rispetto della vita privata e familiare, del domicilio e della corrispondenza, processo equo, diritto al matrimonio, etc.
6. Quando: Il presupposto è che il trattamento presenti un RISCHIO ELEVATO
7. Quando: La valutazione d'impatto sulla protezione dei dati è richiesta in particolare nei casi seguenti: • una valutazione sistematica e globale di aspetti personali relativi a persone fisiche, basata su un trattamento automatizzato, compresa la profilazione, e sulla quale si fondano decisioni che hanno effetti giuridici o incidono in modo analogo significativamente su dette persone fisiche; • il trattamento, su larga scala, di categorie particolari di dati personali di cui all'articolo 9 o di dati relativi a condanne penali e a reati • la sorveglianza sistematica su larga scala di una zona accessibile al pubblico.
8. Quando: L’indicazione dell’art. 35 non è esaustiva (lucuzione “in particolare”) Le linee guida (WP29) indicano 9 criteri per valutare la rischiosità del trattamento, chiaramente prevedendo che in presenza contemporanea di due di questi nove criteri sia obbligatorio condurre la DPIA
9. Quando: Trattamenti valutativi o di scoring, compresa la profilazione e attività predittive, in particolare a partire da “aspetti riguardanti il rendimento professionale, la situazione economica, la salute, le preferenze o gli interessi personali, l'affidabilità o il comportamento, l'ubicazione o gli spostamenti dell'interessato” (considerando 71 e 91). A titolo esemplificativo si possono citare un istituto finanziario che effettui lo screening dei propri clienti utilizzando un database di rischio creditizio ovvero un database per la lotta alle frodi o al riciclaggio e al finanziamento del terrorismo (AML/CTF); una società operante nel settore delle biotecnologie che offra test genetici direttamente ai consumatori per finalità predittive del rischio di determinate patologie o in generale per lo stato di salute; una società che crei profili comportamentali o di marketing a partire dalle operazioni o dalla navigazione compiute sul proprio sito web. 1 - Criterio
10. Quando: Decisioni automatizzate che producono significativi effetti giuridici o di analoga natura: trattamenti finalizzati ad assumere decisioni su interessati che producano “effetti giuridici sulla persona fisica” ovvero che “incidono in modo analogo significativamente su dette persone fisiche” (art. 35, paragrafo 3, lettera a) ). Per esempio, il trattamento può comportare l’esclusione di una persona fisica da determinati benefici ovvero la sua discriminazione. Il trattamento che produce effetti minimi o nulli su un interessato non soddisfa questo specifico criterio. Per maggiori dettagli sui concetti in gioco vd. “Guidelines on Automated individual decision-making and Profiling for the purposes of Regulation 2016/679”, 2/10/2017 emendate 6/2/2018 2 - Criterio
11. Quando: Monitoraggio sistematico: trattamenti utilizzati per osservare, monitorare o controllare gli interessati, compresa la raccolta di dati attraverso reti o “la sorveglianza sistematica di un’area accessibile al pubblico” (art. 35, paragrafo 3, lettera c) ). Questa tipologia di monitoraggio costituisce un criterio, ai fini della DPIA, in quanto la raccolta di dati personali può avvenire in circostanze tali da non consentire agli interessati di comprendere chi vi stia procedendo e per quali finalità. Inoltre, è talora impossibile per gli interessati sottrarsi a questa tipologia di trattamenti in aree pubbliche (o pubblicamente accessibili). 3 - Criterio
12. Quando: Dati sensibili o dati di natura estremamente personale: si tratta delle categorie particolari di dati personali di cui all’art. 9 (per esempio, informazioni sulle opinioni politiche di una persona fisica) oltre ai dati personali relativi a condanne penali o reati di cui all’art. 10. A titolo di esempio, si può citare un ospedale che conserva le cartelle cliniche dei pazienti, o un investigatore privato che conserva informazioni su soggetti responsabili di reati. Al di là di queste disposizioni del regolamento, vi sono talune categorie di dati che possono aumentare i rischi eventuali per i diritti e le libertà delle persone fisiche. Si tratta di dati personali considerati sensibili (nell’accezione comune del termine), in quanto connessi alla vita familiare o privata (quali i dati relativi alle comunicazioni elettroniche dei quali occorre tutelare la riservatezza) ovvero in quanto incidono sull’esercizio di un diritto fondamentale (quali i dati sull’ubicazione, la cui raccolta mette in gioco la libertà di circolazione) ovvero in quanto una loro violazione comporta evidentemente un grave impatto sulla vita quotidiana dell’interessato (quali i dati finanziari che potrebbero essere utilizzati per commettere frodi in materia di pagamenti). 4 - Criterio
13. Quando: Trattamenti di dati su larga scala: il regolamento non offre definizioni del concetto di “larga scala”, anche se il considerando 91 fornisce indicazioni in merito. In ogni caso, il Gruppo di lavoro raccomanda di tenere conto, in particolare, dei fattori seguenti al fine di stabilire se un trattamento sia svolto su larga scala: a. numero di soggetti interessati dal trattamento, in termini numerici o di percentuale rispetto alla popolazione di riferimento; b. volume dei dati e/o ambito delle diverse tipologie di dati oggetto di trattamento; c. durata, o persistenza, dell’attività di trattamento; d. ambito geografico dell’attività di trattamento. 5 - Criterio
14. Quando: Combinazione o raffronto di insiemi di dati, per esempio derivanti da due o più trattamenti svolti per diverse finalità e/o da titolari distinti, secondo modalità che esulano dalle ragionevoli aspettative dell’interessato. 6 - Criterio
15. Quando: Dati relativi a interessati vulnerabili (considerando 75): il trattamento di questa tipologia di informazioni rappresenta un criterio ai fini della DPIA in quanto è più accentuato lo squilibrio di poteri fra interessato e titolare del trattamento, nel senso che il singolo può non disporre del potere di acconsentire, o di opporsi, con facilità al trattamento dei propri dati, né può talora con facilità esercitare i propri diritti. La categoria degli interessati vulnerabili comprende anche i minori, che. si può ritenere non siano in grado di opporsi o acconsentire, in modo consapevole e ragionato, al trattamento dei propri dati personali, i dipendenti, quei segmenti di popolazione particolarmente vulnerabile e meritevole di specifica tutela (soggetti con patologie psichiatriche, richiedenti asilo, anziani, pazienti) e ogni interessato per il quale si possa identificare una situazione di disequilibrio nel rapporto con il rispettivo titolare del trattamento. 7 - Criterio
16. Quando: Utilizzi innovativi o applicazione di nuove soluzioni tecnologiche o organizzative, come l’associazione fra tecniche dattiloscopiche e riconoscimento del volto per migliorare il controllo degli accessi fisici, e così via. Il regolamento chiarisce (art. 35, paragrafo 1, e considerando 89 e 91) che l’utilizzo di una nuova tecnologia, definito “in conformità con il grado di conoscenze tecnologiche raggiunto” (considerando 91), può comportare l’obbligo di condurre una DPIA, in quanto il ricorso a una nuova tecnologia può generare forme innovative di raccolta e utilizzo dei dati cui può associarsi un rischio elevato per i diritti e le libertà delle persone. 8 - Criterio
17. Quando: Tutti quei trattamenti che, di per sé, “impediscono [agli interessati] di esercitare un diritto o di avvalersi di un servizio o di un contratto” (art. 22 e considerando 91). Ciò comprende i trattamenti finalizzati a consentire, modificare o negare l’accesso degli interessati a un servizio o la stipulazione di un contratto. Si pensi, a titolo di esempio, allo screening dei clienti di una banca attraverso i dati registrati in una centrale rischi al fine di stabilire se ammetterli o meno a un finanziamento. 9 - Criterio
18. Quando: 1. Trattamenti valutativi o di scoring, compresa la profilazione e attività predittive 2. Decisioni automatizzate 3. Monitoraggio sistematico 4. Dati sensibili o dati di natura estremamente personale 5. Trattamenti di dati su larga scala 6. Combinazione o raffronto di insiemi di dati 7. Dati relativi a interessati vulnerabili 8. Utilizzi innovativi o applicazione di nuove soluzioni tecnologiche o organizzative 9. Tutti quei trattamenti che, di per sé, “impediscono [agli interessati] di esercitare un diritto o di avvalersi di un servizio o di un contratto” In sintesi
19. Quando: In presenza di DUE o più criteri si alza la probabilità che il trattamento presenti un rischio elevato per i diritti e le libertà fondamentali e quindi la DPIA è OBBLIGATORIA
20. Quando: Esempi Ospedale che tratta dati genetici e sanitari relativi ai pazienti (sistema informativo ospedaliero) • Dati sensibili • Dati relativi a interessati vulnerabili • Dati trattati su larga scala Utilizzo di un sistema di videosorveglianza per il controllo del traffico autostradale. Il titolare prevede di utilizzare un sistema intelligente di analisi delle immagini per l’individuazione dei veicoli e il riconoscimento automatico delle targhe • Monitoraggio sistematico • Utilizzo innovativo di tecnologia Azienda che controlla sistematicamente le attività dei dipendenti, compreso l’utilizzo dei terminali informatici, la navigazione su Internet, ecc. • Monitoraggio sistematico • Dati relativi a interessati vulnerabili
21. Quando: Esempi Raccolta di dati pubblici tratti dai social media per la creazione di profili • Valutazione o scorni • Larga scala • Raffronto • Dati sensibili o strettamente personali Un’istituzione che crei un database nazionale di valutazioni creditizie o per finalità antifrode • Valutazione e scorni • decisioni automatizzate • Impedimenti all’esercizio di diritto o contratto • dati sensibili o dati strettamente personali Conservazione per scopi di archiviazione di dati sensibili pseudonimizzati relativi a interessati vulnerabili coinvolti in progetti di ricerca o studi clinici sperimentali • Dati sensibili • Dati di interessati vulnerabili • Impedimento esercizio di un diritto
22. Quando: E’ anche possibile che un trattamento che risponda ai criteri venga considerato dal Titolare non idoneo a presentare un rischio elevato. In questo caso può non procedere alla DPIA, motivando e documentando tale decisione e allegando il parere del DPO. E’ previsto che le Autorità di controllo devono redigere, pubblicare e comunicare al CEPD un elenco dei trattamenti che richiedono una DPIA
23. Quando non necessaria: Quando, in via alternativa: • il trattamento non “può comportare un rischio elevato” • esiste una DPIA simile • il trattamento è già stato autorizzato prima del maggio 2018 • ha una base legale • è compreso nella lista dei trattamenti che non richiedono una DPIA
24. Quando non necessaria: Per il WP29: • se il trattamento non “può comportare un rischio elevato per i diritti e le libertà di persone fisiche” (art. 35, paragrafo 1) • se la natura, l’ambito, il contesto e le finalità del trattamento sono molto simili a quelli del trattamento per cui è già stata condotta una DPIA. In casi del genere, si possono utilizzare i risultati della DPIA per trattamenti analoghi (art. 35, paragrafo 1) • se il trattamento è stato sottoposto a verifica da parte di un’autorità di controllo prima del maggio 2018 in condizioni specifiche che non hanno subito modifiche • se un trattamento trova la propria base legale nel diritto dell’Ue o di uno Stato membro, la base legale in questione disciplina lo specifico trattamento, ed è già stata condotta una DPIA all’atto della definizione della base giuridica suddetta tranne ove uno Stato membro abbia previsto la necessità di condurre una DPIA per i trattamenti pregressi • se il trattamento è compreso nell’elenco facoltativo (redatto dall’autorità di controllo ai sensi dell’art. 35, paragrafo 5) dei trattamenti per i quali non è necessario procedere alla DPIA.
25. Per i trattamenti già in essere? Per il WP29: Non è necessario condurre una DPIA per quei trattamenti che siano stati oggetto di verifica preliminare da parte di un’autorità di controllo o da un responsabile della protezione dei dati e che proseguano con le stesse modalità oggetto di tale verifica. L’obbligo di condurre una DPIA vige per i trattamenti in corso che possano presentare un rischio elevato per i diritti e le libertà delle persone fisiche e per i quali siano intervenute variazioni dei rischi tenuto conto della natura, dell’ambito, del contesto e delle finalità dei trattamenti stessi.
26. Verifica periodica Per i trattamenti in corso dovrebbe essere previsto un riesame continuo della DPIA, ripetendo la valutazione a intervalli regolari. Pertanto, anche qualora non vi sia l’obbligo di condurre una DPIA al 25 maggio 2018, sarà necessario che il titolare, al momento opportuno, conduca tale DPIA nel quadro degli obblighi più generali di responsabilizzazione cui ogni titolare soggiace.
27. CHI? Spetta al titolare garantire l’effettuazione della DPIA (art. 35, paragrafo 2). La conduzione materiale della DPIA può essere affidata a un altro soggetto, interno o esterno all’organismo; tuttavia, la responsabilità ultima dell’adempimento ricade sul titolare del trattamento. Il titolare deve consultarsi con il responsabile della protezione dei dati (RPD/DPO), ove designato (art. 35, paragrafo 2); tale consultazione e le conseguenti decisioni assunte dal titolare devono essere documentate nell’ambito della DPIA. Il RPD è chiamato anche a monitorare lo svolgimento della DPIA Se il trattamento è svolto, in tutto o in parte, da un responsabile, quest’ultimo deve assistere il titolare nella conduzione della DPIA fornendo ogni informazione necessaria conformemente con l’art. 28, paragrafo 3, lettera f).
28. CHI? Definire e documentare eventuali ulteriori ruoli e responsabilità in rapporto alle politiche, ai processi e alle disposizioni interne all’organismo – per esempio: • se specifiche realtà aziendali propongono di condurre una DPIA, dovrebbero anche fornire input ai fini di tale DPIA e partecipare al relativo processo di validazione; • consultare esperti indipendenti provenienti da diversi ambiti disciplinari (legale, tecnologico, sicurezza, sociologico, etico, ecc.); • ruoli e responsabilità dei responsabili di trattamento devono essere fissati in strumenti contrattuali; • il responsabile della sicurezza dei sistemi informativi (Chief Information Security Officer, CISO), ove designato, nonché il DPO potrebbero proporre lo svolgimento di una DPIA in rapporto a uno specifico trattamento, collaborare con i soggetti interessati al fine di mettere a punto la relativa metodologia, definire la qualità del processo di valutazione del rischio e l’accettabilità del livello di rischio residuale, e definire un corpus di conoscenze specifiche del contesto operativo del titolare; • ove designato, il responsabile della sicurezza dei sistemi informativi e/o l’ufficio o divisione IT dovrebbero fornire supporto al titolare e potrebbero proporre di condurre una DPIA in relazione a uno specifico trattamento, con riguardo alle esigenze di sicurezza o operative.
29. COSA? La DPIA deve essere svolta PRIMA DI PROCEDERE AL TRATTAMENTO L’effettuazione della DPIA dovrebbe collocarsi quanto più a monte possibile nella fase di progettazione di un trattamento, anche se non tutte le operazioni di tale trattamento sono già delineate. L’aggiornamento della DPIA nel corso dell’intero ciclo di vita di un determinato progetto garantirà la dovuta considerazione delle tematiche di privacy e protezione dei dati favorendo l’individuazione di soluzioni che promuovano l’osservanza.
30. COSA? Il regolamento fissa le caratteristiche basilari di una DPIA all’art. 35, paragrafo 7, e nei considerando 84 e 90: • “una descrizione [sistematica] dei trattamenti previsti e delle finalità del trattamento”; • “una valutazione della necessità e proporzionalità dei trattamenti”; • “una valutazione dei rischi per i diritti e le libertà degli interessati”; • “le misure previste per: - “affrontare i rischi”; - “dimostrare la conformità con il presente regolamento”.
32. COSA? Nel considerando 90 del regolamento sono elencati alcuni elementi della DPIA. In termini di gestione del rischio, una DPIA mira a “gestire i rischi” per i diritti e le libertà delle persone fisiche attraverso i processi di seguito indicati: • Definizione del contesto: “tenendo conto della natura, dell’ambito, del contesto e delle finalità del trattamento e delle fonti di rischio”; • Valutazione dei rischi: “valutare la particolare probabilità e gravità del rischio elevato”; • Gestione dei rischi: “attenuare tale rischio” “assicurando la protezione dei dati personali” e “dimostrando la conformità al presente regolamento”
33. COSA? Il regolamento dà ai titolari un margine di flessibilità nello stabilire la struttura e la forma della valutazione di impatto in modo da consentirne l’inclusione nelle prassi lavorative in essere. Vi sono già oggi alcuni schemi definiti nell’Ue e a livello mondiale che tengono conto degli elementi descritti al considerando 90; tuttavia, qualunque sia la forma prescelta, la DPIA deve configurare una vera valutazione dei rischi (in relazione ai diritti e libertà degli interessati) e consentire ai titolari di adottare misure per affrontare tali rischi.
34. COSA? DESCRIZIONE SISTEMATICA DEL TRATTAMENTO (art. 35, par. 7, lettera a) ): - si tiene conto della natura, dell’ambito, del contesto e delle finalità del trattamento (considerando 90); - sono indicati i dati personali oggetto del trattamento, i destinatari e il periodo previsto di conservazione dei dati stessi; - si dà una descrizione funzionale del trattamento; - si specificano gli strumenti coinvolti nel trattamento dei dati personali (hardware, software, reti, persone, supporti cartacei o canali di trasmissione cartacei); - si tiene conto dell’osservanza di codici di condotta approvati (art. 35, paragrafo 8); Elementi
35. COSA? VALUTAZIONE DI NECESSITÀ E PROPORZIONALITÀ DEL TRATTAMENTO (art. 35, par. 7, lett. b) ): - si definiscono le misure previste per rispettare il regolamento (art. 35, paragrafo 7, lettera d) e considerando 90) tenendo conto di quanto segue: > misure che contribuiscono alla proporzionalità e alla necessità del trattamento sulla base di: • finalità specifiche, esplicite e legittime (art. 5(1), lettera b) ); • liceità del trattamento (art. 6); • dati adeguati, pertinenti e limitati a quanto necessario (art. 5(1)c) ); • periodo limitato di conservazione (art. 5(1), lettera e) ); > misure che contribuiscono ai diritti degli interessati: • informazioni fornite agli interessati (artt. 12, 13, 14); • diritto di accesso e portabilità dei dati (artt. 15 e 20); • diritto di rettifica e cancellazione (artt. 16, 17, 19); • diritto di opposizione e limitazione del trattamento (artt. 18,19, 21); • rapporti con responsabili del trattamento (art. 28); • garanzie per i trasferimenti internazionali di dati (Capo V); • consultazione preventiva (art. 36). Elementi
36. COSA? GESTIONE DEI RISCHI PER I DIRITTI E LE LIBERTÀ DEGLI INTERESSATI (art. 35, par.7, lett. c): > si determinano l’origine, la natura, la particolarità e la gravità dei rischi (v. considerando 84) o, in modo più specifico, di ogni singolo rischio (accesso illegittimo, modifiche indesiderate, indisponibilità dei dati) dal punto di vista degli interessati: • si tiene conto delle fonti di rischio (considerando 90); • si identificano gli impatti potenziali sui diritti e le libertà degli interessati in caso di eventi fra cui accesso illegittimo, modifiche indesiderate e indisponibilità dei dati; • si identificano le minacce che potrebbero comportare accessi illegittimi, modifiche indesiderate e indisponibilità dei dati; • si stimano probabilità e gravità (considerando 90); o si stabiliscono le misure previste per gestire i rischi di cui sopra (art. 35, paragrafo 7, lettera d) e considerando 90); Elementi
37. COSA? COINVOLGIMENTO DEI SOGGETTI INTERESSATI: - si chiede consulenza al RPD/DPO (art. 35, paragrafo 2); - si sentono gli interessati o i loro rappresentanti (art. 35, paragrafo 9), se del caso Elementi
38. COME? Il regolamento non specifica quale procedura debba essere seguita ai fini della DPIA, lasciando ai titolari la definizione di uno schema che integri le rispettive prassi e che deve, tuttavia, tenere conto delle componenti di cui all’art. 35, paragrafo 7. Metodologia
39. COME? Sono pubblicati alcuni schemi generali: • DE: Standard Data Protection Model, V.1.0 – Trial version, 2016 30 . https://www.datenschutzzentrum.de/uploads/SDM-Methodology_V1_EN1.pdf • ES: Guía para una Evaluación de Impacto en la Protección de Datos Personales (EIPD), Agencia española de protección de datos (AGPD), 2014. https://www.agpd.es/portalwebAGPD/canaldocumentacion/publicaciones/common/ Guias/G uia_EIPD.pdf • FR: Privacy Impact Assessment (PIA), Commission nationale de l’informatique et des libertés (CNIL), 2015. https://www.cnil.fr/fr/node/15798 • UK: Conducting privacy impact assessments code of practice, Information Commissioner’s Office (ICO), 2014. https://ico.org.uk/media/for- organisations/documents/1595/pia-code-of-practice.pdf
40. COME? Sono pubblicati alcuni schemi particolari: • Privacy and Data Protection Impact Assessment Framework for RFID Applications. http://ec.europa.eu/justice/data-protection/article- 29/documentation/opinion- recommendation/files/2011/wp180_annex_en.pdf • Data Protection Impact Assessment Template for Smart Grid and Smart Metering systems32 http://ec.europa.eu/energy/sites/ener/files/documents/2014_dpia_smar t_grids_forces.pdf Metodologia
41. COME? Schema ISO/IEC 29134:2017 Information technology -- Security techniques -- Guidelines for privacy impact assessment https://www.iso.org/standard/62289.html Lo schema riprende sostanzialmente le linee guide dell’autorità francese che aveva individuato una metodologia ed un template https://www.cnil.fr/fr/node/24129 Metodologia