In sintesi: la valutazione d’impatto sulla protezione dei dati — DPIA — è il processo con cui il titolare del trattamento, prima di avviare un trattamento che può presentare un rischio elevato, ne descrive il funzionamento, ne verifica necessità e proporzionalità, misura i rischi per le persone e decide le misure per ridurli. La impone l’articolo 35 del GDPR. Non è un modulo da archiviare: è una decisione che si prende prima di partire, e che va documentata.

1. Che cos’è davvero una DPIA

Nessuno apre un ponte al traffico e poi calcola se regge. Si fa il progetto, si calcolano i carichi, si collauda, si scrive tutto in una relazione firmata — e solo dopo passa la prima automobile. Se il calcolo dice che il ponte non regge, non si apre: si cambia il progetto.

La valutazione d’impatto sulla protezione dei dati funziona esattamente così, con una differenza: il carico non è il peso dei camion, è il danno che un trattamento può produrre nella vita delle persone. Un accesso illegittimo alla cartella clinica. Un algoritmo che nega un finanziamento. Una telecamera che riprende un lavoratore mentre pranza.

Il Regolamento (UE) 2016/679 lo dice in una riga: quando un trattamento, considerati natura, oggetto, contesto e finalità, «può presentare un rischio elevato per i diritti e le libertà delle persone fisiche», il titolare effettua la valutazione d’impatto prima di procedere. Non «entro», non «appena possibile». Prima.

La DPIA non è un documento che si allega: è una decisione che si prende prima di partire.

Il che spiega perché la DPIA non sia un adempimento formale ma uno strumento di accountability: serve a dimostrare che il titolare ha guardato in faccia i rischi che stava creando ad altri, e ha scelto consapevolmente come gestirli.

2. Quando è obbligatoria: le tre soglie che contano

Qui casca l’asino, perché la risposta non sta in un unico elenco. Va cercata in tre luoghi diversi, e basta che uno solo si accenda.

a) I tre casi tipizzati dall’art. 35(3)

Il GDPR indica espressamente tre situazioni in cui la valutazione è richiesta:

• la valutazione sistematica e globale di aspetti personali basata su trattamento automatizzato, compresa la profilazione, su cui si fondano decisioni con effetti giuridici o che incidono in modo analogo significativamente sulla persona;
• il trattamento su larga scala di categorie particolari di dati (art. 9: salute, biometrici, convinzioni, orientamento sessuale…) o di dati relativi a condanne penali e reati (art. 10);
• la sorveglianza sistematica su larga scala di una zona accessibile al pubblico — tipicamente la videosorveglianza estesa.

b) I nove criteri delle Linee guida WP248 rev.01

Il Gruppo di lavoro Art. 29 — le cui linee guida sono state fatte proprie dall’EDPB il 25 maggio 2018 — ha individuato nove indicatori di rischio elevato: valutazione o scoring; decisione automatizzata con effetto giuridico; monitoraggio sistematico; dati sensibili o di carattere altamente personale; larga scala; combinazione o incrocio di insiemi di dati; interessati vulnerabili; uso innovativo di soluzioni tecnologiche od organizzative; trattamenti che impediscono di esercitare un diritto o di avvalersi di un servizio o di un contratto.

La regola pratica è di una semplicità disarmante: due criteri soddisfatti su nove sono normalmente indice di rischio elevato, e quindi di DPIA obbligatoria. Con un criterio solo, la valutazione può comunque essere necessaria, ma la scelta va motivata.

c) L’elenco del Garante italiano

Il Garante per la protezione dei dati personali, con il provvedimento n. 467 dell’11 ottobre 2018 (pubblicato in Gazzetta Ufficiale n. 269 del 19 novembre 2018), ha adottato l’elenco nazionale ex art. 35, par. 4: dodici tipologie di trattamento per le quali la valutazione d’impatto è dovuta. Tra le più ricorrenti nella pratica quotidiana:

• trattamenti valutativi o di scoring su larga scala e profilazione, anche online o tramite app;
• trattamenti automatizzati finalizzati a decisioni con effetti giuridici (es. screening dei clienti di una banca tramite centrale rischi);
• uso sistematico di dati per l’osservazione, il monitoraggio o il controllo degli interessati, inclusi i metadati in ambito telco o bancario;
• trattamenti su larga scala di dati aventi carattere estremamente personale (comunicazioni elettroniche, ubicazione, dati finanziari);
• trattamenti nel rapporto di lavoro mediante sistemi tecnologici da cui derivi la possibilità di controllo a distanza (videosorveglianza, geolocalizzazione);
• trattamenti non occasionali di soggetti vulnerabili (minori, anziani, pazienti, disabili, richiedenti asilo);
• uso di tecnologie innovative (IoT, sistemi di intelligenza artificiale, assistenti vocali, wearable, wi-fi tracking) quando ricorra almeno un altro criterio del WP248;
• scambio su larga scala di dati tra titolari diversi con modalità telematiche;
• interconnessione, combinazione o raffronto di informazioni, incluso l’incrocio di dati di consumo digitale con dati di pagamento;
• dati particolari (art. 9) o giudiziari (art. 10) interconnessi con dati raccolti per finalità diverse;
• trattamenti sistematici di dati biometrici;
• trattamenti sistematici di dati genetici.

Un dettaglio che sfugge spesso: l’elenco del Garante non sostituisce l’art. 35, par. 1. La clausola generale prevale sempre. Non trovare il proprio trattamento nell’elenco non è un salvacondotto.

3. Quando non serve (e perché va scritto lo stesso)

Le linee guida escludono l’obbligo, in sostanza, in quattro casi: quando il trattamento non presenta un rischio elevato; quando natura, ambito, contesto e finalità sono molto simili a un trattamento per cui una DPIA è già stata svolta — e allora se ne riutilizzano i risultati; quando la tipologia era già stata verificata da un’autorità di controllo prima del maggio 2018 in condizioni immutate; quando ricorre l’ipotesi dell’art. 35, par. 10 (base giuridica normativa che ha già incorporato una valutazione d’impatto generale).

4. Chi la fa: titolare, DPO, responsabili, interessati

L’obbligo è del titolare del trattamento. Punto. Non è delegabile al fornitore, non è delegabile al consulente, non è delegabile — questo sorprende molti — al DPO.

Il responsabile della protezione dei dati ha un ruolo diverso e specifico: il titolare deve richiederne il parere (art. 35, par. 2) e il DPO sorveglia lo svolgimento della valutazione (art. 39). È una funzione di controllo. Se il DPO scrive materialmente la DPIA e poi la valuta, il controllo si autovaluta: conflitto di interessi in piena regola.

Il responsabile del trattamento — il fornitore del software, il cloud provider, l’outsourcer — deve assistere il titolare nello svolgimento della DPIA. È un obbligo contrattuale ex art. 28, par. 3, lett. f). Nella pratica: se il vostro DPA non contiene quella clausola, il giorno in cui chiederete la documentazione tecnica al fornitore vi risponderà con un preventivo.

Infine gli interessati: l’art. 35, par. 9 prevede che il titolare, «se del caso», raccolga le opinioni degli interessati o dei loro rappresentanti. In azienda, questo significa il più delle volte le rappresentanze sindacali. Non è un obbligo assoluto, ma la scelta di non consultare va motivata nel documento.

5. Quando va fatta: prima, non dopo

La DPIA precede il trattamento. È il naturale corollario della protezione dei dati fin dalla progettazione (art. 25): serve a orientare le scelte tecniche mentre sono ancora reversibili.

Nella mia esperienza, il momento in cui arriva la telefonata è quasi sempre sbagliato. Arriva a piattaforma comprata, contratto firmato, go-live fissato per il lunedì successivo. A quel punto la valutazione d’impatto non può più fare il suo mestiere — che è influenzare il progetto — e diventa un esercizio di giustificazione a posteriori. Costa di più, protegge di meno, e in caso di data breach si vede benissimo dalla data del file.

6. Che cosa deve contenere: i quattro pilastri dell’art. 35(7)

Il contenuto minimo è tassativo. Una DPIA priva di uno di questi quattro elementi è, semplicemente, incompleta:

Pilastro	Che cosa significa in concreto
a) Descrizione sistematica	Come funziona il trattamento: dati, categorie di interessati, destinatari, conservazione, flussi, asset tecnici (hardware, software, reti, canali cartacei), finalità — compreso l’eventuale legittimo interesse perseguito.
b) Necessità e proporzionalità	Il trattamento è il mezzo meno invasivo per raggiungere la finalità? Verifica su base giuridica, minimizzazione, limitazione della conservazione, informativa, esercizio dei diritti, rapporti con i responsabili, trasferimenti extra-UE.
c) Rischi per i diritti e le libertà	Origine, natura, particolarità e gravità dei rischi per gli interessati. Non per l’azienda.
d) Misure previste	Garanzie, misure di sicurezza tecniche e organizzative, meccanismi per dimostrare la conformità — con effetto misurato sul rischio.

7. Come si fa: il metodo in quattro fasi

Il GDPR non impone una metodologia. Impone dei criteri (Allegato 2 del WP248) e lascia liberi nel metodo. In Italia il riferimento operativo più solido resta la metodologia PIA della CNIL francese, allineata alla norma tecnica ISO/IEC 29134 e integrabile con le guide ENISA per la sicurezza del trattamento. Il Garante italiano stesso ne ha segnalato lo strumento software.

Lo schema è sempre lo stesso, quattro fasi.

Fase 1 — Studio del contesto

Si delimita il trattamento, si mappano dati e supporti, si individuano i soggetti coinvolti e il ciclo di vita del dato. È la fase più noiosa ed è quella che determina la qualità di tutto il resto.

Fase 2 — Studio dei principi fondamentali

Necessità e proporzionalità, più le misure a tutela dei diritti degli interessati. Qui si risponde a una domanda che nessun software può rispondere al posto vostro: serve davvero raccogliere questo dato?

Fase 3 — Studio dei rischi

Si analizzano tre eventi temuti, che coprono la triade riservatezza-integrità-disponibilità:

• accesso illegittimo ai dati (chi non doveva vedere, vede);
• modifica indesiderata dei dati (il dato c’è ma è sbagliato);
• scomparsa dei dati (il dato non c’è più quando serve).

Per ciascuno si stimano gravità e verosimiglianza su una scala a quattro livelli — trascurabile, limitato, significativo, massimo — prima e dopo le misure. La differenza tra rischio iniziale e rischio residuo è il vero output della DPIA: è lì che si legge se il lavoro è servito a qualcosa.

Fase 4 — Validazione

Parere del DPO, piano d’azione con misure correttive, responsabile e scadenza per ciascuna, decisione formale del titolare. Una DPIA che si chiude con «si raccomanda di valutare l’adozione di misure adeguate» non è una DPIA: è un tema di terza media.

8. Il rischio residuo e la consultazione del Garante

Terminata l’analisi, il bivio è netto. Se le misure riportano il rischio residuo a un livello accettabile, il trattamento parte e la documentazione resta agli atti — la DPIA non va inviata al Garante né pubblicata (anche se pubblicarne una sintesi può giovare alla fiducia degli interessati).

Se invece il rischio residuo rimane elevato, scatta la consultazione preventiva dell’art. 36: il titolare deve interpellare l’autorità di controllo prima di procedere. Il Garante, se ritiene che il trattamento violi il Regolamento, fornisce un parere scritto entro otto settimane, prorogabili di sei per la complessità del caso, e può esercitare tutti i poteri dell’art. 58 — compreso il divieto di trattamento.

Le linee guida fanno esempi utili di rischio residuo inaccettabile: conseguenze significative o irreversibili che l’interessato non può superare — accesso a dati che mettono in pericolo la vita, il licenziamento, un danno finanziario — oppure vulnerabilità note a cui non si riesce a porre rimedio.

Un’ultima cosa: la DPIA non è un atto che si esaurisce. L’art. 35, par. 11 impone il riesame almeno quando insorgono variazioni del rischio. Cambio di fornitore cloud, nuovo modulo di analytics, apertura di una sede: sono tutte variazioni del rischio.

9. I sette errori che vedo più spesso

Li metto in ordine crescente di gravità. Il peggiore è l’ultimo.

1. Il periodo di conservazione «per il tempo necessario». Scrivere così è come dire «quel che sarà, sarà». Non è una valutazione: è una canzone di Doris Day.
2. Il copia-incolla da un’altra azienda. Il riuso di una DPIA per trattamenti analoghi è espressamente ammesso, ma «analogo» significa stessa natura, stesso contesto, stesse finalità — non stesso settore merceologico.
3. Le misure senza effetto misurato. Elencare quindici controlli di sicurezza senza dire quale rischio abbassano e di quanto rende impossibile calcolare il rischio residuo, che è l’unica cosa che il Garante guarderà.
4. Il rischio valutato dal lato sbagliato. Il GDPR chiede i rischi per i diritti e le libertà degli interessati. La maggior parte delle DPIA che leggo valuta il rischio di sanzione per l’azienda. È un’altra materia: si chiama risk management, e non soddisfa l’art. 35.
5. Nessun piano d’azione. Rilevare nove criticità e non assegnare a nessuno il compito di chiuderle trasforma il documento in una confessione scritta.
6. Il DPO che scrive e poi valuta. Vedi sopra: il controllore non può essere l’autore.
7. La DPIA datata dopo il go-live. È l’errore che non si può correggere. La data del file è la prima cosa che si guarda quando c’è un data breach — e da lì in poi ogni discorso sull’accountability diventa difficile da sostenere.

Sullo sfondo restano le conseguenze sanzionatorie: omettere la valutazione quando è dovuta, svolgerla in modo errato o non consultare l’autorità quando richiesto espone a una sanzione fino a 10 milioni di euro o, per le imprese, fino al 2% del fatturato annuo mondiale, se superiore.

10. DPIA, intelligenza artificiale e AI Act

L’elenco del Garante cita espressamente i sistemi di intelligenza artificiale tra le tecnologie innovative rilevanti. Nella pratica, un sistema di IA che tratta dati personali integra quasi sempre almeno due criteri del WP248 — uso innovativo più valutazione, o profilazione, o larga scala — e quindi la valutazione d’impatto è dovuta.

Si aggiunge oggi il Regolamento (UE) 2024/1689 sull’intelligenza artificiale, che all’art. 27 introduce per alcuni deployer di sistemi ad alto rischio la valutazione d’impatto sui diritti fondamentali (FRIA). Sono due strumenti distinti, con oggetti diversi, ma comunicanti: quando gli obblighi FRIA risultano già assolti dalla DPIA, la valutazione sui diritti fondamentali la integra anziché duplicarla. Tradotto in linguaggio da studio: una DPIA fatta bene oggi è metà del lavoro di domani.

11. Il video di approfondimento

Ho trattato la valutazione d’impatto anche in un video sul mio canale YouTube, con gli esempi pratici che in un articolo starebbero stretti.

Guarda su youtube

Domande frequenti sulla valutazione d’impatto

Come faccio a capire se il mio trattamento supera la soglia del rischio elevato?

La risposta non sta in un unico elenco: va cercata in tre posti, e basta che uno si accenda.

Il primo sono i tre casi tipizzati dall’art. 35, par. 3: profilazione con decisioni che producono effetti giuridici o analoghi, trattamento su larga scala di dati particolari o giudiziari, sorveglianza sistematica su larga scala di zone accessibili al pubblico.

Il secondo sono i nove criteri delle Linee guida WP248, con una regola pratica: due criteri soddisfatti su nove indicano di norma rischio elevato. Con un criterio solo la valutazione può servire comunque, ma la scelta va motivata.

Il terzo è l’elenco del Garante (provv. 467/2018): dodici tipologie per cui la DPIA è dovuta.

Attenzione al punto che sfugge: l’elenco del Garante non sostituisce la clausola generale dell’art. 35, par. 1. Non trovare il proprio trattamento in quell’elenco non è un salvacondotto.

La mia è una piccola azienda: posso saltarla?

La dimensione dell’impresa non è il criterio. Il criterio è il rischio.

Una PMI che gestisce dati sanitari, o che ha installato un sistema da cui deriva la possibilità di controllo a distanza dei dipendenti, può essere tenuta alla DPIA. Una grande azienda può non doverla svolgere per un trattamento amministrativo ordinario.

Quello che cambia con la dimensione è la profondità del documento, non l’obbligo di farlo.

E c’è una conseguenza che vale anche quando la conclusione è negativa: la valutazione di soglia va messa per iscritto. Due pagine che spiegano quali criteri sono stati esaminati e perché non sono stati ritenuti integrati. Senza quel foglio, davanti al Garante non c’è differenza fra «non era dovuta» e «non ci abbiamo pensato».

Il fornitore mi dice che alla DPIA pensa lui: posso fidarmi?

No, e non per sfiducia: perché l’obbligo non è suo. La DPIA è del titolare del trattamento e non è delegabile — né al fornitore, né al consulente, né al DPO.

Quello che il fornitore deve fare è assisterti: è un obbligo contrattuale ex art. 28, par. 3, lett. f). Nella pratica, se il tuo accordo sul trattamento dei dati non contiene quella clausola, il giorno in cui gli chiederai la documentazione tecnica ti risponderà con un preventivo.

Che cosa pretendere da lui, in concreto: descrizione tecnica del trattamento, elenco dei sub-responsabili, luoghi di conservazione ed eventuali trasferimenti extra-UE, misure di sicurezza adottate, tempi di conservazione. Sono i dati che servono a compilare la descrizione sistematica e l’analisi dei rischi: senza, la DPIA la scrivi a metà.

Un fornitore che «pensa lui alla DPIA» ti sta offrendo un documento che resterà comunque una tua responsabilità, scritto da chi ha interesse a rappresentare il proprio prodotto come sicuro.

Il mio DPO ha scritto lui la DPIA: è un problema in ispezione?

Sì, ed è un problema di struttura, non di qualità del lavoro.

L’art. 35, par. 2 impone al titolare di richiedere il parere del DPO sulla valutazione; l’art. 39 gli attribuisce il compito di sorvegliarne lo svolgimento. Se il DPO ne è anche l’autore, si trova a esprimere un parere sul proprio operato e a sorvegliare se stesso: un conflitto di interessi rispetto all’indipendenza richiesta dall’art. 38.

L’assetto che regge è questo: la DPIA la redigono le funzioni di business e compliance, con l’eventuale supporto tecnico di un consulente esterno; il DPO interviene in fase di parere e di sorveglianza, e il suo parere viene messo a verbale.

Quel parere scritto è anche la cosa che in ispezione dimostra che il presidio è esistito. Se non c’è, la DPIA sembra un atto unilaterale del titolare.

Ho una DPIA in mano: come capisco se regge o è carta straccia?

Prima il contenuto minimo, che l’art. 35, par. 7 rende tassativo: descrizione sistematica del trattamento e delle finalità; valutazione di necessità e proporzionalità; valutazione dei rischi per i diritti e le libertà degli interessati; misure previste per affrontarli. Se manca uno di questi quattro, il documento è incompleto per definizione.

Poi i controlli che dicono se è vera o di facciata:

• il periodo di conservazione è un numero, oppure c’è scritto «per il tempo necessario»?
• i rischi sono valutati per gli interessati o è il rischio di sanzione per l’azienda? Il secondo è risk management, e non soddisfa l’art. 35
• ogni misura ha un effetto misurato sul rischio, o è un elenco di controlli senza indicazione di quale rischio abbassano e di quanto?
• c’è un piano d’azione con un responsabile e una scadenza per ciascuna criticità?
• la data è anteriore all’avvio del trattamento?
• il parere del DPO è a verbale?

Una DPIA che si chiude con «si raccomanda di valutare l’adozione di misure adeguate» non è una DPIA.

Ho installato le telecamere in azienda senza DPIA: devo rimediare?

Dipende da estensione e contesto, ma nel rapporto di lavoro la soglia si abbassa molto.

La DPIA è dovuta per la sorveglianza sistematica su larga scala di una zona accessibile al pubblico (art. 35, par. 3, lett. c). E l’elenco del Garante include espressamente i trattamenti effettuati nel rapporto di lavoro mediante sistemi tecnologici da cui derivi la possibilità di controllo a distanza dei dipendenti — videosorveglianza e geolocalizzazione comprese.

Due telecamere all’ingresso di un piccolo esercizio, di norma, non raggiungono la soglia. Anche in quel caso però la conclusione va scritta.

Se la soglia è superata e l’impianto è già attivo, la DPIA si fa adesso, con la data di oggi. E va verificato l’altro binario, che è quello che genera più contenzioso: l’art. 4 dello Statuto dei lavoratori richiede l’accordo con le rappresentanze sindacali o, in mancanza, l’autorizzazione dell’Ispettorato. È un adempimento autonomo dalla DPIA: averne fatta una non sana l’assenza dell’altro.

Sto per comprare un software di intelligenza artificiale: cosa devo chiedere al fornitore prima di firmare?

Prima di tutto: se il sistema tratta dati personali, la DPIA è quasi sempre dovuta. L’elenco del Garante cita le tecnologie innovative — con richiamo espresso ai sistemi di intelligenza artificiale, all’IoT, agli assistenti vocali e ai dispositivi indossabili — quando ricorra almeno un altro criterio del WP248, condizione che nell’IA si verifica di regola: profilazione, larga scala, decisioni automatizzate.

Che cosa ottenere prima della firma, non dopo:

• descrizione tecnica del trattamento e dei flussi di dati
• se i dati dei tuoi interessati alimentano l’addestramento del modello, e se puoi escluderlo
• la logica delle decisioni automatizzate, in forma comprensibile
• sub-responsabili e luoghi di trattamento, compresi i trasferimenti extra-UE
• la clausola di assistenza ex art. 28, par. 3, lett. f) nel contratto
• se il sistema è classificato ad alto rischio ai sensi del Regolamento (UE) 2024/1689

Quest’ultimo punto conta perché per alcuni deployer di sistemi ad alto rischio l’art. 27 dell’AI Act introduce la valutazione d’impatto sui diritti fondamentali. Sono due strumenti distinti ma comunicanti: quando gli obblighi FRIA risultano già assolti dalla DPIA, la valutazione sui diritti fondamentali la integra anziché duplicarla.

Il momento per fare queste domande è quello in cui hai ancora il potere negoziale, cioè prima di firmare.

Ho cambiato fornitore cloud: la DPIA di due anni fa vale ancora?

No, o almeno non senza un riesame. L’art. 35, par. 11 impone di rivedere la valutazione almeno quando insorgono variazioni del rischio rappresentato dal trattamento, e un cambio di fornitore o di infrastruttura è una variazione del rischio in senso proprio: cambiano i luoghi di conservazione, le misure di sicurezza, i sub-responsabili, spesso i trasferimenti extra-UE.

Sono variazioni del rischio anche: nuove finalità, nuove categorie di dati o di interessati, un nuovo modulo di analytics, l’apertura di una sede, un incidente di sicurezza, una modifica normativa o un nuovo provvedimento dell’autorità.

La prassi che regge è doppia: un riesame periodico programmato — annuale o triennale a seconda del livello di rischio — affiancato a un riesame straordinario legato agli eventi. La DPIA è un processo continuo, non un adempimento una tantum.

Posso datare la DPIA prima del go-live?

No. E vale la pena essere espliciti sul perché, perché è la tentazione che si presenta esattamente nel momento peggiore.

La DPIA in ritardo è una violazione dell’art. 35 che si può attenuare: la si fa adesso, con la data vera, si documenta la ragione del ritardo e si correggono le misure. È recuperabile.

Una DPIA retrodatata è un’altra cosa. La data del file è la prima informazione che viene guardata quando c’è un data breach, e i metadati di un documento raccontano quando è stato creato con molta più precisione di quanto si immagini. Se emerge, non compromette solo quel documento: toglie credibilità a tutto l’impianto di accountability, perché rende ogni altra data del sistema una dichiarazione da verificare.

Un ritardo si spiega. Una data falsa no.

Le domande che ho trattato a parte

Tre situazioni hanno una procedura dietro, con termini e bivi: le ho svolte in schede dedicate.

• Ho avviato il trattamento senza DPIA: cosa rischio e cosa posso fare adesso?
• Il rischio resta alto anche con le misure: devo fermare il progetto?
• Il Garante mi ha chiesto la DPIA e non ce l’ho: cosa succede ora?

Le informazioni contenute in questo articolo hanno carattere divulgativo e non sostituiscono una consulenza legale personalizzata: ogni trattamento va valutato nel suo contesto specifico. Fonti normative e metodologiche: Regolamento (UE) 2016/679, artt. 25, 28, 35, 36, 39, 83; Linee guida WP248 rev.01 del Gruppo di lavoro Art. 29, adottate dall’EDPB il 25 maggio 2018; Garante per la protezione dei dati personali, provv. n. 467 dell’11 ottobre 2018 e relativo Allegato 1; metodologia PIA della CNIL; ISO/IEC 29134; linee guida ENISA sulla sicurezza del trattamento dei dati personali; Regolamento (UE) 2024/1689 (AI Act), art. 27.