La DPIA spiegata bene: quando la valutazione d'impatto è obbligatoria, e cosa deve contenere

Non è un modulo, è un'analisi del rischio fatta prima

La valutazione d'impatto sulla protezione dei dati — in sigla DPIA, dall'inglese Data Protection Impact Assessment — è forse l'adempimento del GDPR che viene più spesso ridotto a un foglio da archiviare. È il contrario. L'articolo 35 del Regolamento (UE) 2016/679 la descrive come un'analisi che il titolare del trattamento deve svolgere prima di iniziare un trattamento che può comportare un rischio elevato per i diritti e le libertà delle persone fisiche, in particolare quando si usano nuove tecnologie. La parola chiave è "prima": la DPIA serve a vedere il rischio quando lo si può ancora evitare, non a certificarlo dopo.

Quando è obbligatoria

Non ogni trattamento richiede una DPIA. Il GDPR indica tre casi in cui è comunque richiesta, elencati nell'articolo 35, paragrafo 3.

1. 01
   Valutazione sistematica basata su decisioni automatizzate

   con profilazione ed effetti giuridici o significativi sulle persone
2. 02
   Trattamento su larga scala di categorie particolari

   dati sanitari, biometrici, giudiziari
3. 03
   Monitoraggio sistematico su larga scala

   di una zona accessibile al pubblico

A questi si aggiunge il lavoro di interpretazione delle autorità. Le linee guida dell'EDPB — l'ex Gruppo di lavoro Articolo 29, documento WP248 rev.01 — individuano nove criteri che segnalano un rischio elevato: dalla valutazione o attribuzione di punteggi al trattamento di dati sensibili, dai dati su larga scala all'incrocio di insiemi di dati, fino ai soggetti vulnerabili e agli usi innovativi. La regola pratica dell'EDPB: se un trattamento soddisfa almeno due di questi criteri, di norma la DPIA va fatta. In Italia, il Garante ha inoltre pubblicato un elenco delle tipologie di trattamento che richiedono una valutazione d'impatto: un punto di riferimento concreto per capire da che parte si sta.

Cosa deve contenere

L'articolo 35, paragrafo 7, non lascia la DPIA all'improvvisazione: ne fissa il contenuto minimo. Serve una descrizione sistematica dei trattamenti previsti e delle loro finalità; una valutazione della necessità e proporzionalità rispetto a quelle finalità; una valutazione dei rischi per i diritti e le libertà delle persone; e le misure previste per affrontare quei rischi, comprese le garanzie e i meccanismi di sicurezza. In questo percorso il titolare si consulta con il responsabile della protezione dei dati (DPO), se nominato.

C'è poi un passaggio che molti dimenticano: se, nonostante le misure previste, il rischio residuo resta elevato, il titolare non può procedere da solo. L'articolo 36 impone in quel caso la consultazione preventiva dell'autorità di controllo — in Italia, il Garante — prima di avviare il trattamento. La DPIA non è quindi un esercizio a porte chiuse: quando il rischio è troppo alto per essere gestito internamente, apre un dialogo con il regolatore.

Perché è uno strumento di sicurezza

Il motivo per cui la DPIA riguarda anche chi si occupa di sicurezza, e non solo i giuristi, è nel legame con l'articolo 32 del GDPR — la sicurezza del trattamento. La valutazione d'impatto è il momento in cui i rischi per le persone e le misure tecniche e organizzative per contenerli si incontrano formalmente. È qui che la privacy by design smette di essere uno slogan e diventa una scelta documentata: cifratura, minimizzazione, controllo degli accessi, pseudonimizzazione entrano nella DPIA come risposte a rischi specifici, non come buone intenzioni generiche.

Vista così, la DPIA non è il costo della conformità ma il suo strumento più utile: costringe a chiedersi, prima di raccogliere un dato, se serve davvero, chi potrà toccarlo, cosa succede se finisce nel posto sbagliato. È un approfondimento, non l'attacco del giorno; ma è la procedura che trasforma la protezione dei dati da adempimento formale a decisione consapevole. I riferimenti che contano — il testo dell'articolo 35, le linee guida dell'EDPB, la pagina e l'elenco del Garante — sono verificabili alle fonti ufficiali in testa alla pagina.