La valutazione d’impatto privacy — la DPIA dell’art. 35 del Regolamento — è probabilmente l’adempimento che viene rinviato più a lungo. Non perché sia poco importante, ma perché non ha una scadenza propria: nessuno la chiede finché non succede qualcosa. E quando succede qualcosa, la sua assenza non è un’omissione fra le altre. È la prova documentale che il titolare ha attivato un trattamento ad alto rischio senza averne misurato il rischio.
Che cosa dice l’art. 35 e perché la soglia è più bassa di quanto sembri
La valutazione d’impatto è dovuta quando un tipo di trattamento, considerati la natura, l’oggetto, il contesto e le finalità, può presentare un rischio elevato per i diritti e le libertà delle persone fisiche. Il paragrafo 3 indica poi tre casi in cui è richiesta in ogni caso: la valutazione sistematica e globale di aspetti personali basata su un trattamento automatizzato, compresa la profilazione, da cui derivino decisioni che producono effetti giuridici o incidono in modo analogo significativamente sulla persona; il trattamento su larga scala di categorie particolari di dati o di dati relativi a condanne penali e reati; la sorveglianza sistematica su larga scala di una zona accessibile al pubblico.
A questi si aggiunge l’elenco delle tipologie di trattamento soggette al requisito della valutazione d’impatto adottato dal Garante nel 2018 ai sensi dell’art. 35, paragrafo 4. È un documento che vale la pena avere presente, perché comprende situazioni molto comuni: trattamenti valutativi o di scoring, trattamenti effettuati mediante dispositivi indossabili o dell’internet delle cose, trattamenti su larga scala di dati sanitari, trattamenti effettuati nell’ambito del rapporto di lavoro mediante sistemi tecnologici da cui derivi un controllo a distanza dell’attività, trattamenti che comportano l’interconnessione di banche dati.
Il punto che sfugge più spesso è questo: «larga scala» non significa «multinazionale». Un poliambulatorio con qualche migliaio di pazienti, un ordine professionale che gestisce gli iscritti di una provincia, un comune di media dimensione trattano dati su larga scala nel senso del Regolamento. La soglia si supera molto prima di quanto la maggior parte delle organizzazioni immagini.
La valutazione d’impatto è un atto del titolare
C’è un equivoco che vale la pena sciogliere subito, perché produce documenti inutilizzabili. La DPIA non è un atto del Responsabile della protezione dei dati. È un atto del titolare del trattamento, che la effettua «quando necessario, sentito il responsabile della protezione dei dati»: l’art. 35, paragrafo 2, assegna al DPO il compito di fornire un parere, non quello di redigere il documento al posto del titolare né di firmarlo.
Quando il DPO si sostituisce al titolare accade una cosa doppiamente dannosa: il titolare non assume la decisione che la legge gli impone di assumere, e il DPO perde l’indipendenza che dovrebbe consentirgli di valutare quella decisione. È una variante del conflitto di interessi di cui abbiamo parlato a proposito della nomina obbligatoria del DPO e del DPO esterno.
Che cosa viene contestato
- DPIA mancante per un trattamento che rientrava nei casi obbligatori. È l’ipotesi più netta, perché l’accertamento è documentale e non ammette repliche.
- DPIA effettuata a posteriori, dopo l’avvio del trattamento. Il Regolamento la vuole «prima di procedere al trattamento»: una valutazione redatta a impianto già in funzione non sana il periodo precedente e, anzi, documenta la data in cui il titolare si è accorto del problema.
- DPO non consultato o consultato quando la decisione era già presa. Emerge sempre dalle date dei documenti.
- Valutazione puramente descrittiva, che elenca il trattamento senza misurare la necessità e la proporzionalità e senza individuare le misure previste per affrontare i rischi. È il formato più diffuso ed è quello che regge meno.
- Consultazione preventiva omessa. Se la valutazione indica un rischio elevato che il titolare non riesce ad attenuare, l’art. 36 impone di consultare l’Autorità prima di procedere. Saltare questo passaggio è una violazione autonoma.
- DPIA mai riesaminata dopo modifiche rilevanti del trattamento, nonostante l’obbligo di riesame previsto dall’art. 35, paragrafo 11.
Le sanzioni, e il danno che arriva prima
Le violazioni degli obblighi di cui agli artt. 35 e 36 rientrano nell’art. 83, paragrafo 4, del GDPR: fino a dieci milioni di euro oppure, per le imprese, fino al due per cento del fatturato mondiale totale annuo dell’esercizio precedente, se superiore. Per gli enti pubblici si applica inoltre l’art. 166 del Codice. Sui criteri di determinazione abbiamo scritto parlando di quanto costa una violazione del GDPR.
Ma la conseguenza più pesante, nella pratica, è un’altra. Il potere correttivo dell’art. 58 consente all’Autorità di imporre una limitazione provvisoria o definitiva del trattamento, fino al divieto. Per un’organizzazione che ha appena investito in un sistema di videosorveglianza intelligente, in una piattaforma di gestione delle presenze o in un applicativo sanitario, l’ordine di sospendere il trattamento in attesa di conformarsi vale molto più di una sanzione pecuniaria. E quell’ordine arriva proprio quando la valutazione che avrebbe dovuto precedere l’investimento non è mai stata fatta.
Si aggiunge il profilo del contenzioso civile: l’art. 82 riconosce all’interessato il diritto al risarcimento del danno, e l’assenza di una valutazione d’impatto rende molto più difficile per il titolare dimostrare di avere adottato misure adeguate ai sensi dell’art. 24.
Perché i modelli in circolazione non risolvono
Esistono moduli di DPIA scaricabili in quantità. Il problema è che una valutazione d’impatto non è un questionario: è un giudizio sulla necessità e sulla proporzionalità di uno specifico trattamento, in una specifica organizzazione, con specifiche alternative disponibili. Un modello può suggerire le domande; le risposte, e soprattutto la decisione che ne consegue, restano in capo al titolare. Vale lo stesso ragionamento fatto per il registro delle attività di trattamento.
Il lavoro dello studio
Lo studio dell’avv. Elio Errichiello svolge incarichi di Responsabile della protezione dei dati per ordini professionali, comuni, enti pubblici non economici e strutture sanitarie private, predispone lo schema della valutazione d’impatto e rende il parere previsto dall’art. 35, paragrafo 2, lasciando al titolare la decisione che la legge gli assegna. Ha sede a Napoli e assiste in tutta Italia. Le modalità sono descritte nella pagina del servizio di consulenza privacy e protezione dei dati personali; per il diritto amministrativo è disponibile il sito dell’avv. Elio Errichiello.
Se state per avviare un trattamento che vi sembra rientrare nei casi dell’art. 35, o se ne avete già avviato uno senza valutazione, il primo passo è un esame preliminare della documentazione e dei termini eventualmente in corso. Scrivete allo studio descrivendo il trattamento e gli strumenti impiegati.
