DPIA: valutazione d'impatto sulla protezione dei dati
Prima di lanciare un nuovo prodotto, un'app o un trattamento delicato serve capire se i rischi per le persone sono accettabili. La DPIA è lo strumento che lo dimostra e documenta le misure adottate.
Gli importi indicati sono orientativi. Il preventivo definitivo viene sempre definito dopo un primo colloquio conoscitivo gratuito, in base al volume dei dati trattati e alla complessità della pratica.
A chi si rivolge
Il servizio è rivolto a chi avvia trattamenti potenzialmente rischiosi o riceve richieste di documentazione da clienti, partner o autorità.
- Aziende che lanciano nuovi prodotti digitali, app o piattaforme
- Organizzazioni che installano videosorveglianza o sistemi di geolocalizzazione
- Chi tratta dati sanitari, biometrici o giudiziari
- Chi utilizza profilazione, scoring o decisioni automatizzate
Quando è obbligatoria
Quando il trattamento presenta un rischio elevato per i diritti e le libertà delle persone; la valutazione preliminare serve proprio a stabilirlo e a lasciarne traccia.
Obblighi normativi
La disciplina è contenuta nell'art. 35 del GDPR e nell'elenco dei trattamenti soggetti a DPIA adottato dal Garante.
- Art. 35 par. 1 e 3 GDPR — casi di valutazione d'impatto obbligatoria
- Art. 35 par. 7 GDPR — contenuto minimo della DPIA (descrizione, necessità, rischi, misure)
- Art. 35 par. 2 GDPR — parere del DPO, quando nominato
- Art. 36 GDPR — consultazione preventiva del Garante se il rischio resta elevato
- Art. 25 e 32 GDPR — privacy by design e misure di sicurezza
- Provvedimento del Garante n. 467/2018 — elenco dei trattamenti soggetti a DPIA
- Linee guida WP248 rev.01 sulla valutazione d'impatto
Cosa facciamo
- Valutazione preliminare (threshold assessment) sulla necessità della DPIA
- Descrizione del trattamento, finalità, dati e soggetti coinvolti
- Analisi di necessità e proporzionalità rispetto alle finalità
- Identificazione e ponderazione dei rischi per gli interessati
- Definizione delle misure di mitigazione e del rischio residuo
- Documento finale firmabile e piano di riesame periodico
Coinvolgimento dei fornitori
Quando il trattamento passa da fornitori esterni, la valutazione include le garanzie contrattuali ex art. 28 GDPR e le eventuali sub-responsabilità.
Tempi e metodo
Il lavoro si svolge su interviste ai referenti tecnici e di business, con una metodologia basata sulle linee guida europee.
Fase 1 — Inquadramento
Verifica della soglia di rischio e raccolta della documentazione tecnica.
Fase 2 — Valutazione
Analisi dei rischi, confronto con il team e definizione delle misure.
Fase 3 — Riesame
Aggiornamento della DPIA quando cambiano finalità, tecnologie o fornitori.
Riferimenti normativi
Fonti ufficiali utilizzate come base metodologica.
- Regolamento (UE) 2016/679, artt. 35 e 36
- Provvedimento del Garante 11 ottobre 2018, n. 467
- Linee guida WP248 rev.01 (EDPB) sulla valutazione d'impatto
- Metodologia CNIL PIA come riferimento operativo
Domande e risposte
Come capisco se devo fare la DPIA?
Si parte da una valutazione preliminare: si confrontano le caratteristiche del trattamento con i criteri delle linee guida WP248 e con l'elenco del Garante. Anche l'esito negativo va documentato.
Quanto tempo richiede una DPIA?
Per un singolo trattamento ben delimitato in genere due o tre settimane, in funzione della disponibilità dei referenti tecnici e della documentazione dei fornitori.
Serve una DPIA per ogni nuovo progetto?
No: serve quando il rischio per gli interessati è elevato. Per gli altri casi è sufficiente una valutazione preliminare tracciata.
La DPIA va aggiornata nel tempo?
Sì. Va riesaminata quando cambiano finalità, tecnologie, fornitori o volumi di dati, e comunque a intervalli periodici definiti.
Percorsi collegati
Consulenza GDPR per PMI
Adeguamento privacy per imprese e studi professionali in Campania.
Scopri di piùCookie e CMP
Banner cookie a norma, scelta della CMP e policy aggiornate.
Scopri di piùNIS2 e D.Lgs. 138/2024
Percorso di adeguamento per PMI e fornitori della catena di forniture.
Scopri di piùAI Act
Trasparenza e governance nell'uso di sistemi di intelligenza artificiale.
Scopri di piùDPO esterno
Data Protection Officer per studi, scuole e associazioni.
Scopri di piùGDPR Audit
Gap analysis e piano di adeguamento per capire da dove partire.
Scopri di piùRetainer mensile
Supporto privacy continuativo via email, telefono e call mensile.
Scopri di piùParti Sicuro — Sito & Compliance
Sito web costruito da un consulente privacy: conforme dal primo giorno.
Scopri di piùVuoi capire da dove partire? Iniziamo con una call.
30 minuti gratuiti per inquadrare la tua situazione e definire le priorità. Nessun impegno.