DPIA: dalla domanda "serve?" alla valutazione d'impatto

DPIA: cos'è e perché arriva quando il progetto è già partito

La DPIA, o valutazione d'impatto sulla protezione dei dati, è l'analisi che il titolare deve svolgere prima di un trattamento che può presentare un rischio elevato per i diritti e le libertà delle persone (art. 35 GDPR).

Nella pratica il DPO viene coinvolto tardi. Il fornitore è scelto, il contratto è in firma, la data di go live è fissata. A quel punto la domanda non è più "come progettiamo questo trattamento?" ma "ci serve davvero una DPIA?".

Rispondere bene richiede di incrociare più livelli:

• i tre casi esemplificativi dell'art. 35, par. 3, GDPR (valutazione sistematica con decisioni automatizzate, categorie particolari su larga scala, sorveglianza sistematica di zone pubbliche);
• i nove criteri delle linee guida WP 248 rev. 01, fatte proprie dall'EDPB, per cui la presenza di due o più criteri indica di regola un rischio elevato;
• l'elenco del Garante delle tipologie soggette a DPIA (provvedimento n. 467 dell'11 ottobre 2018, pubblicato in Gazzetta Ufficiale n. 269 del 19 novembre 2018).

L'elenco non è esaustivo: resta fermo l'obbligo generale dell'art. 35, par. 1. Per questo serve una valutazione motivata, non una spunta su una lista.

Come imposti una DPIA GDPR con Next-OS

Il percorso segue l'ordine dell'art. 35: prima capire se la valutazione serve, poi costruirla, infine raccogliere il parere del DPO. Ogni passo lascia traccia nel workspace della pratica.

1. Descrivi il trattamento e carica i documenti del progetto

Scrivi in chat finalità, categorie di dati e di interessati, fornitori, tecnologie. Carica capitolato, documentazione tecnica del fornitore, schemi di flusso: Next-OS analizza anche scansioni PDF e documenti in inglese, rispondendo in italiano.

2. DPIA, quando è obbligatoria: verifica i criteri

Chiedi a Next-OS di confrontare il trattamento con i casi dell'art. 35, par. 3, con i criteri WP 248 e con le 12 tipologie dell'allegato 1 al provvedimento del Garante. La risposta indica quali criteri ricorrono e perché, con le fonti citate.

3. Costruisci la traccia della valutazione

L'art. 35, par. 7, chiede almeno: descrizione sistematica del trattamento e delle finalità; valutazione di necessità e proporzionalità; valutazione dei rischi per gli interessati; misure previste per affrontarli. Next-OS prepara una bozza con queste sezioni, anche partendo dal tuo DPIA template salvato in Next Drive, esportabile in docx e revisionabile con le revisioni attive (track changes).

4. Prepara il parere del DPO

Il DPO fornisce, se richiesto, un parere sulla DPIA e ne sorveglia lo svolgimento (art. 39, par. 1, lett. c). Chiedi a Next-OS una prima stesura del parere, poi correggila con il tuo giudizio sui rischi.

DPIA, un esempio concreto: screening automatico dei candidati

Un gruppo della grande distribuzione vuole adottare una piattaforma che legge i curriculum, assegna un punteggio ai candidati e propone una short list ai selezionatori.

Il DPO chiede a Next-OS: "Questo trattamento richiede una DPIA? Ci sono obblighi anche dall'AI Act?".

Cosa ottieni:

• l'individuazione dei criteri che ricorrono: valutazione e assegnazione di un punteggio, uso innovativo di tecnologie, possibile incidenza significativa sulle persone;
• il collegamento con il punto 7 dell'elenco del Garante, che cita i sistemi di intelligenza artificiale quando ricorre almeno un altro criterio;
• il richiamo all'Allegato III, punto 4, lett. a), del Regolamento (UE) 2024/1689, che classifica ad alto rischio i sistemi di AI usati per la selezione del personale, con obblighi applicabili dal 2 dicembre 2027 dopo l'Omnibus digitale sull'IA;
• una traccia di DPIA con le domande da porre al fornitore su logica del punteggio, dati di addestramento e supervisione umana.

Il rapporto tra DPIA e valutazione d'impatto sui diritti fondamentali è spiegato nella guida su AI Act e GDPR per il DPO.

Cosa verificare sempre in una DPIA

• Tempistica. La valutazione precede il trattamento. Se il trattamento è già in corso, documenta perché e programma subito il riesame.
• Coinvolgimento degli interessati. L'art. 35, par. 9, prevede di raccogliere, se del caso, le opinioni degli interessati o dei loro rappresentanti.
• Rischio residuo. Se dopo le misure il rischio resta elevato, il titolare consulta il Garante prima di procedere (art. 36). Il Garante ha otto settimane per il parere scritto, prorogabili di sei.
• Riesame. La DPIA non è un documento chiuso: va rivista almeno quando cambia il rischio (art. 35, par. 11).
• Coerenza con gli altri documenti. Registro dei trattamenti, informative e accordi con i fornitori devono raccontare lo stesso trattamento. Per il registro vedi la pagina sul registro dei trattamenti.

Next-OS ti fa arrivare prima a una bozza solida; la valutazione del rischio, che dipende da contesto e misure reali, resta un giudizio del titolare con il parere del DPO. Torna alla panoramica sull'intelligenza artificiale per DPO per gli altri compiti.