DPIA
La valutazione d'impatto sulla protezione dei dati: quando un trattamento può ledere diritti e libertà, si analizzano rischi e misure prima di procedere.
Anche: valutazione d'impatto, valutazione di impatto, Data Protection Impact Assessment, valutazione d'impatto sulla protezione dei dati, DPIA GDPR
Definizione
Una DPIA (Data Protection Impact Assessment, in italiano valutazione d’impatto sulla protezione dei dati) è l’analisi strutturata con cui un titolare del trattamento valuta, prima di avviare o modificare un trattamento, se e come i dati personali possano mettere a rischio diritti e libertà delle persone. Nasce dal GDPR: è tipicamente richiesta quando il trattamento presenta un rischio elevato, ad esempio profilazione su larga scala, categorie particolari di dati, monitoraggio sistematico o tecnologie invasive. Non sostituisce il registro dei trattamenti né l’informativa: documenta finalità, basi giuridiche, flussi, rischi residui e misure di mitigazione (tecniche e organizzative). Il DPO, se nominato, è di solito consultato; la responsabilità resta del titolare. In pratica la DPIA è un dossier operativo, aggiornato quando cambiano processi o fornitori, non un modulo da firmare una volta sola.
Esempi
In uno studio di consulenza privacy, un cliente PMI introduce un sistema di videoanalisi in sede. Prima del go-live il titolare, con lo studio, conduce la DPIA: mappa telecamere, finalità, tempi di conservazione e accessi, poi definisce misure (mascheramento, retention corta, policy interne) e documenta le conclusioni.
In una clinica ambulatoriale che digitalizza cartelle e reminder SMS, il titolare valuta con il DPO se il nuovo flusso richiede DPIA: dati sanitari, volumi e canali di contatto. Se il rischio è elevato, la valutazione precede l’attivazione del fornitore e guida informative e accordi di trattamento.