15 Ago Ho avviato il trattamento senza DPIA: cosa rischio e cosa posso fare adesso?

Il trattamento è partito, e la valutazione d’impatto non è mai stata fatta. È la situazione più frequente che incontro, e la prima cosa da dire è che è recuperabile — a una condizione, su cui torno alla fine.

Perché il ritardo conta

L’art. 35 del GDPR impone la valutazione prima di procedere. Non «entro», non «appena possibile». Il senso della norma è che la DPIA orienti le scelte tecniche mentre sono ancora reversibili: a piattaforma comprata e go-live avvenuto non può più fare il suo mestiere, e diventa un esercizio di giustificazione a posteriori.

Questo però non rende inutile farla adesso. La rende urgente.

Primo passo: la valutazione, con la data di oggi

Si redige ora, datata oggi, e dentro si scrive anche la ragione del ritardo. Un ritardo documentato è una condotta trasparente; un ritardo nascosto diventa un secondo problema.

La valutazione dev’essere vera, il che significa che può concludersi con la necessità di cambiare il trattamento: ridurre i dati raccolti, accorciare la conservazione, aggiungere misure, in casi estremi sospendere una funzionalità. Se il documento nasce già sapendo che tutto va bene, non serve a niente.

Secondo passo: il bivio del rischio residuo

Terminata l’analisi si aprono due strade, e la differenza fra le due è netta.

Se il rischio residuo è accettabile, il trattamento prosegue e la documentazione resta agli atti. Non va inviata a nessuno.

Se il rischio residuo resta elevato nonostante le misure, scatta l’art. 36: il titolare deve consultare il Garante prima di procedere. Qui la posizione è delicata, perché il trattamento è già in corso: la scelta ragionevole è consultare e valutare nel frattempo una sospensione o una limitazione delle funzionalità più critiche.

Sui tempi della consultazione: il Garante fornisce un parere scritto entro otto settimane dal ricevimento, prorogabili di sei per la complessità del caso, e può esercitare tutti i poteri dell’art. 58, compreso il divieto di trattamento.

Che cosa si rischia

Sul piano sanzionatorio, fino a 10 milioni di euro o, per le imprese, fino al 2% del fatturato annuo mondiale, se superiore.

Ma il costo che si materializza più spesso è indiretto: l’assenza della valutazione pesa sulla condotta del titolare in caso di data breach. Lo stesso incidente, con o senza DPIA agli atti, produce due conversazioni molto diverse con l’autorità.

La condizione, e l’unica cosa da non fare

Non retrodatare il documento. La data del file è la prima informazione che viene guardata dopo una violazione, e i metadati raccontano quando è stato creato con precisione. Una DPIA tardiva si spiega; una data falsa toglie credibilità a ogni altro documento del sistema.

Il quadro completo — quando la valutazione è obbligatoria, che cosa deve contenere e come si svolge — è nella guida alla valutazione d’impatto (DPIA).