Quando un progetto digitale tratta dati personali su larga scala, utilizza sistemi di profilazione o introduce tecnologie innovative, la domanda non è soltanto se sia utile, ma anche se una dpia privacy sia necessaria prima del lancio. La DPIA, cioè la valutazione d’impatto sulla protezione dei dati, aiuta a individuare i rischi per le persone, scegliere misure concrete e dimostrare che il trattamento è stato progettato in modo responsabile.
La DPIA trasforma i rischi privacy in decisioni concrete
- Obbligo preventivo quando il trattamento può presentare un rischio elevato.
- Tre casi tipici sono profilazione significativa, dati sensibili su larga scala e sorveglianza sistematica.
- Il titolare resta responsabile, mentre il DPO fornisce consulenza quando è stato designato.
- La valutazione descrive trattamento, necessità, rischi e misure di protezione.
- Il documento va aggiornato quando cambiano tecnologia, finalità o livello di rischio.
Dalla privacy teorica a una decisione di progetto
Una DPIA non è una semplice informativa per gli utenti e non coincide con un controllo tecnico di sicurezza. È un’analisi strutturata che mette in relazione finalità, dati, persone coinvolte, tecnologie e possibili conseguenze del trattamento.
Il punto di partenza è l’articolo 35 del GDPR. Prima di iniziare un trattamento potenzialmente rischioso, il titolare deve valutare l’impatto sui diritti e sulle libertà delle persone, soprattutto quando utilizza nuove tecnologie o combina grandi quantità di informazioni.
Nella pratica, considero la DPIA uno strumento di progettazione. Se viene compilata a progetto ormai deciso, rischia di diventare un documento difensivo; se viene usata all’inizio, può evitare di investire in una soluzione che richiederà costose correzioni dopo il lancio.
Il rischio non riguarda soltanto il furto dei dati. Può riguardare anche discriminazione, esclusione da un servizio, perdita di controllo sulle informazioni, sorveglianza eccessiva o decisioni automatizzate poco trasparenti.
Quando la DPIA non è opzionale
La valutazione è richiesta quando un trattamento, considerando natura, finalità, contesto e tecnologia utilizzata, può presentare un rischio elevato per le persone. Il GDPR indica alcuni casi espressi, mentre le autorità privacy hanno elaborato criteri utili per valutare situazioni più articolate.
| Situazione | Esempio pratico | Perché il rischio aumenta |
|---|---|---|
| Profilazione con effetti significativi | Algoritmo che valuta candidati, affidabilità o accesso al credito | Una decisione automatizzata può incidere concretamente sulla vita della persona |
| Dati sensibili su larga scala | Informazioni sanitarie, biometriche o giudiziarie gestite da una piattaforma | Una violazione o un uso improprio può produrre conseguenze gravi |
| Sorveglianza sistematica | Videosorveglianza estesa in luoghi accessibili al pubblico | Il monitoraggio è continuativo e riguarda molte persone |
| Uso innovativo o combinazione di dati | Intelligenza artificiale che incrocia dati di acquisto, posizione e comportamento | Il trattamento può creare profili difficili da prevedere o contestare |
Il Garante Privacy considera particolarmente rilevante la presenza di più fattori contemporaneamente. Come regola pratica, la presenza di almeno due criteri di rischio, tra profilazione, monitoraggio, dati altamente personali, larga scala, vulnerabilità degli interessati e nuove tecnologie, è un forte segnale che richiede una DPIA.
Non esiste però una soglia universale basata soltanto sul numero di utenti. Per valutare la larga scala bisogna considerare volume dei dati, durata del trattamento, estensione geografica e quantità di interessati. Una piccola impresa può quindi dover svolgere una DPIA se tratta dati molto delicati o applica decisioni automatizzate con effetti importanti.
Il percorso pratico in sei passaggi
Una DPIA efficace non deve essere lunga per forza. Deve essere abbastanza precisa da spiegare che cosa succede ai dati, quali rischi esistono e perché le misure adottate sono proporzionate.
1. Delimitare il trattamento
Descrivo finalità, categorie di dati, interessati, sistemi utilizzati, soggetti che accedono alle informazioni, tempi di conservazione e trasferimenti verso fornitori o Paesi terzi. Una descrizione vaga rende impossibile una valutazione seria del rischio.
2. Verificare necessità e proporzionalità
Qui bisogna chiedersi se tutti i dati siano davvero necessari, se la finalità possa essere raggiunta con meno informazioni e se il periodo di conservazione sia giustificato. La minimizzazione dei dati spesso riduce il rischio più di una nuova tecnologia di sicurezza.
3. Individuare le conseguenze per le persone
Non mi limito a elencare minacce informatiche. Valuto anche errori, uso secondario, accessi indebiti, classificazioni errate, perdita di riservatezza, disparità di trattamento e difficoltà nell’esercitare i propri diritti.
4. Stimare probabilità e gravità
Ogni rischio va valutato in base alla probabilità che si verifichi e alla gravità del danno. Un errore che coinvolge dati sanitari, identità digitale o minori può essere grave anche quando la probabilità appare contenuta.
5. Definire le misure di mitigazione
Le misure possono includere cifratura, pseudonimizzazione, controllo degli accessi, separazione degli archivi, registrazione delle operazioni, test sugli algoritmi, revisione umana e procedure per gestire le richieste degli interessati.
6. Decidere prima dell’avvio
Il risultato deve portare a una decisione concreta. Il trattamento può essere avviato, modificato, limitato oppure sospeso se il rischio residuo resta troppo alto. La DPIA va conclusa prima dell’inizio del trattamento, non dopo la prima ispezione o il primo incidente.
Che cosa deve contenere e chi deve assumersi la responsabilità
Il GDPR indica quattro contenuti essenziali. Il documento deve essere leggibile anche da chi non ha progettato tecnicamente il sistema, perché la responsabilità privacy non appartiene soltanto al reparto IT.
| Parte della DPIA | Domanda a cui risponde |
|---|---|
| Descrizione sistematica | Quali dati vengono trattati, per quali finalità e con quali strumenti? |
| Necessità e proporzionalità | Il trattamento è adeguato allo scopo o raccoglie più dati del necessario? |
| Valutazione dei rischi | Che cosa può accadere alle persone e con quale probabilità? |
| Misure di protezione | Quali garanzie riducono il rischio e chi deve applicarle? |
Il titolare del trattamento mantiene la responsabilità della valutazione, anche quando incarica consulenti o fornitori. Il DPO, se presente, deve essere coinvolto e fornire il proprio parere, ma non sostituisce il titolare nella decisione finale.
È utile coinvolgere anche sicurezza informatica, legale, risorse umane, marketing, prodotto e responsabili operativi. Quando il trattamento può incidere molto sugli interessati, il GDPR prevede inoltre la possibilità di raccogliere le loro opinioni o quelle dei loro rappresentanti, salvo ragioni commerciali, pubbliche o di sicurezza.
La consultazione preventiva del Garante diventa necessaria quando, dopo le misure previste, resta un rischio elevato non adeguatamente mitigato. Non è una richiesta da presentare per ogni DPIA e non sostituisce la progettazione corretta del trattamento.
Gli errori più comuni e tre casi concreti
Un sistema di recruiting basato sull’intelligenza artificiale
Un algoritmo che assegna punteggi ai candidati può ricadere nella valutazione sistematica e nella profilazione. La DPIA dovrebbe analizzare qualità dei dati, possibili discriminazioni, spiegabilità del risultato, intervento umano e possibilità per il candidato di contestare una decisione.
Dire che il software appartiene a un fornitore esterno non basta. Il titolare deve comunque capire quali dati alimentano il modello e come viene prodotto il punteggio, anche quando non gestisce direttamente il codice.
Videosorveglianza con riconoscimento biometrico
Una telecamera tradizionale e un sistema che identifica automaticamente i volti non hanno lo stesso impatto. Nel secondo caso entrano in gioco dati biometrici, monitoraggio sistematico e potenziali effetti sulla libertà di movimento.
La valutazione deve esaminare alternative meno invasive, angoli di ripresa, tempi di conservazione, accessi alle immagini, accuratezza del sistema e procedure per correggere identificazioni errate.
Leggi anche: Consent Mode v2 in Italia - guida a consenso e configurazione
Una piattaforma digitale per servizi sanitari
Una piattaforma che collega referti, appuntamenti, dati clinici e strumenti predittivi tratta informazioni altamente personali. Anche se l’obiettivo è migliorare il servizio, occorre verificare separatamente finalità di cura, ricerca, analytics e comunicazioni commerciali.
Gli errori più frequenti sono partire dal modello precompilato, confondere sicurezza e privacy, ignorare i fornitori e archiviare la DPIA senza riesaminarla. Un documento copiato da un altro progetto può sembrare completo, ma spesso non riflette rischi, utenti e flussi di dati reali.
Il riesame è necessario quando cambiano finalità, categorie di dati, tecnologia, destinatari o livello di rischio. Non esiste un intervallo unico valido per tutti, perché la revisione deve seguire l’evoluzione concreta del trattamento.
La decisione più utile va presa prima del lancio
Una buona DPIA non serve a dimostrare che un progetto è perfetto. Serve a rendere visibili i compromessi e a decidere se il valore ottenuto giustifica il rischio per le persone.
Prima di mettere online un nuovo servizio, controllerei almeno quattro elementi: finalità chiara, dati indispensabili, rischio residuo accettabile e responsabile operativo identificato. Se uno di questi punti resta indefinito, il progetto non è ancora pronto per partire.
La protezione dei dati funziona meglio quando entra nella progettazione commerciale e tecnologica fin dall’inizio. In questo modo la DPIA smette di essere un adempimento documentale e diventa uno strumento concreto per costruire servizi più affidabili, sostenibili e credibili.
