Glossario · Glossario · Conformità GDPR
Valutazione d'impatto sulla protezione dei dati (DPIA)
Team Anonimatum
In breve
La DPIA è la valutazione che il titolare deve svolgere prima di avviare un trattamento che può presentare un rischio elevato per i diritti e le libertà delle persone: descrivere il trattamento, verificarne la necessità, valutare i rischi e stabilire le misure.
La valutazione d'impatto sulla protezione dei dati (DPIA) è disciplinata dall'art. 35 del GDPR. Non riguarda ogni trattamento, ma quelli che per natura, ambito, contesto o finalità possono incidere seriamente sulle persone: videosorveglianza su larga scala, profilazione automatizzata, grandi basi di dati sanitari o nuove tecnologie come l'IA.
Si svolge prima di iniziare il trattamento, si documenta e si riesamina quando cambiano le condizioni. Fatta bene, è uno strumento di progettazione: obbliga a chiedersi se servono davvero tutti i dati e se si potrebbero anonimizzare o pseudonimizzare.
Quando la DPIA è obbligatoria
L'art. 35, par. 1, del GDPR richiede la DPIA quando un trattamento può presentare un rischio elevato. Il par. 3 indica tre casi in cui è sempre necessaria:
- Valutazione sistematica e globale di aspetti personali basata su un trattamento automatizzato, compresa la profilazione, sulla quale si fondano decisioni con effetti giuridici o analogamente significativi.
- Trattamento su larga scala di categorie particolari di dati (art. 9) o di dati relativi a condanne penali e reati (art. 10).
- Sorveglianza sistematica su larga scala di una zona accessibile al pubblico.
Oltre a questi casi, le linee guida del Gruppo Articolo 29 (WP248 rev.01), fatte proprie dal Comitato europeo per la protezione dei dati, individuano nove criteri: valutazione o scoring, decisioni automatizzate, monitoraggio sistematico, dati sensibili, larga scala, combinazione di insiemi di dati, interessati vulnerabili, uso innovativo di tecnologie e trattamenti che impediscono l'esercizio di un diritto. Di norma, se ne ricorrono almeno due, la DPIA va fatta.
L'elenco del Garante privacy
In attuazione dell'art. 35, par. 4, il Garante ha adottato con il provvedimento n. 467 dell'11 ottobre 2018 (pubblicato nella Gazzetta Ufficiale n. 269 del 19 novembre 2018) l'elenco delle tipologie di trattamenti soggetti a DPIA. L'elenco non è esaustivo: resta fermo l'obbligo di valutare il rischio alla luce dei criteri delle linee guida europee. Il Garante mette inoltre a disposizione sul proprio sito materiali di approfondimento sulla DPIA.
Cosa deve contenere
| Elemento | In pratica |
|---|---|
| Descrizione sistematica del trattamento e delle finalità | Flussi di dati, sistemi, responsabili del trattamento, tempi di conservazione |
| Necessità e proporzionalità | Perché proprio quei dati e non meno; base giuridica |
| Valutazione dei rischi per diritti e libertà | Probabilità e gravità di accessi illeciti, reidentificazione, discriminazione |
| Misure previste per affrontare i rischi | Minimizzazione, pseudonimizzazione, anonimizzazione, cifratura, controllo accessi, formazione |
Il titolare deve consultare il responsabile della protezione dei dati (art. 35, par. 2). Se, nonostante le misure, il rischio residuo resta elevato, deve consultare il Garante prima di avviare il trattamento (art. 36). L'omessa DPIA, quando obbligatoria, è sanzionabile ai sensi dell'art. 83, par. 4, del GDPR.
Anonimizzazione e pseudonimizzazione come misure
Poche misure riducono il rischio quanto smettere di trattare dati identificativi. Se un'analisi si può svolgere su dati davvero anonimi, questi escono dall'ambito del GDPR (considerando 26). Attenzione però: l'anonimizzazione stessa è un trattamento di dati personali e va valutata, compreso il rischio di reidentificazione.
Quando occorre mantenere il collegamento tra i record, la pseudonimizzazione è la misura tipica, citata espressamente negli artt. 25 e 32. I dati restano personali: la DPIA deve chiarire chi custodisce la tabella di corrispondenza e come è protetta. Un esempio concreto nel nostro articolo sulla DPIA di un progetto di anonimizzazione.
Il ruolo di Anonimatum
Anonimatum applica queste misure ai documenti: oscuramento irreversibile o pseudonimizzazione con sostituzioni coerenti e mappe salvate cifrate. Per la DPIA dello strumento stesso, è rilevante che l'IA giri su server nell'Unione europea senza inviare il testo ad API esterne di modelli linguistici e che Politeia Soft disponga della certificazione di sicurezza spagnola ENS (categoria MEDIA) con Anonimatum nel perimetro. Dettagli nella pagina sicurezza.
Domande frequenti
Chi svolge la DPIA?
Il titolare del trattamento. Responsabili o consulenti possono supportarlo, ma la responsabilità resta sua e deve sentire il DPO.
Va ripetuta?
Va riesaminata quando cambia il rischio, ad esempio con nuove fonti di dati, finalità o tecnologie (art. 35, par. 11).
Anonimizzare evita la DPIA?
Può evitarla per l'uso successivo di dati davvero anonimi, ma il processo di anonimizzazione tratta dati personali e va valutato.
La DPIA va pubblicata?
Il GDPR non lo impone, anche se pubblicarne una sintesi può rafforzare la fiducia.
Dalle misure della DPIA alla pratica
Confrontate i piani e iniziate ad anonimizzare o pseudonimizzare documenti con IA ospitata nell'UE e revisione umana.