Le linee guida europee sulla valutazione di impatto della privacy

In vista dell’entrata in vigore delle regole UE sul rispetto della privacy dal prossimo 25 maggio 2018, il Garante della privacy (Newsletter 30 ottobre 2017, n.434 ) ha pubblicato le linee guida adottate dal Garanti europei per la valutazione di impatto sulla protezione dei dati (in inglese DPIA).
Si tratta di una delle importanti novità che entreranno in vigore dalla predetta data e che cambierà sensibilmente il modo di gestire la privacy.

Una DPIA consiste in una procedura finalizzata a descrivere il trattamento, valutarne necessità e proporzionalità, e facilitare la gestione dei rischi per la privacy dei dati personali. La mancata, scorretta o ritardata valutazione può comportare l’irrogazione di sanzioni pecuniarie molto pesanti.

La DPIA è obbligatoria solo se si è in presenza di una rischio elevato per i diritti personali derivanti dai trattamenti dati, oppure di un singolo trattamento o infine a seguito dell’installazione di un nuovo dispositivo tecnologico.

Rischio elevato – Sono considerati a elevato rischio i seguenti trattamenti: Trattamenti valutativi – trattamenti automatici che producono effetti giuridici (perdita di status ad es,) – monitoraggio sistematico – dati sensibili – combinazione di dati – interessi vulnerabili (ad es. con minori) – introduzione di nuove tecnologie. Le linee guida ritengono interessati ad un DPIA ad esempio i trattamenti dati effettuati da un’azienda che controlla sistematicamente le attività dei dipendenti, compreso l’utilizzo dei terminali informatici, la navigazione su Internet ecc.

Qualora il titolare non ritenga necessario fare una DPIA dovrà motivare la scelta e documentarla.

Esclusioni della DPIA – La DPIA non è obbligatoria, oltre a quando non ricorra un rischio elevato, quando sia molto simile ad altri trattamenti per cui è già stata effettuata, o quando è stato già sottoposto a verifica da un’autorità di controllo prima del maggio 2018, o ha una sua base legale o fa parte di qualche esclusione fornita dall’autorità di controllo.

Modalità – La DPIA va effettuata prima di procedere ai trattamenti dei dati. In ogni caso la DPIA è dinamica in quanto i trattamenti dati sono soggetti a modifiche e trasformazioni e va rifatta in casi del genere.

Deve essere condotta dal titolare e dal responsabile del trattamento dati.
La DPIA consiste nel:
-descrivere i trattamenti e le finalità;
-valutare la necessità e la proporzionalità del trattamento;
-valutarne i rischi e ridurne la portata dimostrando l’osservanza del regolamento comunitario;
-descrivere le misure previste per affrontare i predetti rischi.
Se il titolare non è in grado di ridurre i rischi a livello accettabile deve infine consultare l’autorità garante.