Il Regolamento Generale sulla Protezione dei Dati (RGPD) 2016/679 sarà applicabile a partire dal 25 maggio 2018. L’art. 35 del RGPD introduce la nozione di valutazione di impatto sulla protezione dei dati denominata DPIA, utilizzando l’acronimo inglese per Data Protection Impact Assessment. (spesso utilizzato anche l’acronimo PIA Privacy Impact Assessment, ossia valutazione di impatto sulla privacy). Una DPIA consiste in una procedura finalizzata a descrivere il trattamento, valutarne necessità e proporzionalità, e facilitare la gestione dei rischi per i diritti e le libertà delle persone fisiche derivanti dal trattamento dei loro dati (attraverso la valutazione di tali rischi e la definizione delle misure idonee ad affrontarli). La DPIA è uno strumento importante in termini di responsabilizzazione (accountability) in quanto aiuta il titolare non soltanto a rispettare le prescrizioni del RGPD, ma anche a dimostrare l’adozione di misure idonee a garantire il rispetto di tali prescrizioni (si veda anche l’art. 24). In altri termini, la DPIA è una procedura che permette di realizzare e dimostrare la conformità con le norme. In base al regolamento, l’inosservanza degli obblighi concernenti la DPIA può comportare l’imposizione di sanzioni pecuniarie da parte della competente autorità di controllo. Il RGPD obbliga i titolari a svolgere una valutazione di impatto prima di darvi inizio, consultando l’autorità di controllo in caso le misure tecniche e organizzative da loro stessi individuate per mitigare l’impatto del trattamento non siano ritenute sufficienti; cioè quando il rischio residuale per i diritti e le libertà degli interessati resti elevato. I titolari sono infatti tenuti non soltanto a garantire l’osservanza delle disposizioni del regolamento, ma anche a dimostrare adeguatamente in che modo garantiscono tale osservanza; la valutazione di impatto ne è un esempio. La DPIA pertanto è fondamentale per il titolare che può ricavare indicazioni importanti e utili a prevenire incidenti futuri. In questo senso, la valutazione di impatto permette di realizzare concretamente l’altro fondamentale principio fissato nel regolamento 2016/679, ossia la protezione dei dati fin dalla fase di progettazione (data protection by design) di qualsiasi trattamento.
In annesso la info-grafica, prodotta dal Garante per la protezione dei dati personali, che illustra i fondamentali concernenti la valutazione di impatto sulla protezione dei dati (DPIA).
Scarica in pdf le linee-guida concernenti la valutazione di impatto sulla protezione dei dati nonché i criteri per stabilire se un trattamento “possa presentare un rischio elevato” ai sensi del regolamento 2016/679: Linee-guida concernenti la valutazione di impatto sulla protezione dei dati