15 Ago Il rischio resta alto anche con le misure: devo fermare il progetto?
La valutazione d’impatto è stata svolta, le misure sono state applicate, e il rischio residuo resta elevato. La risposta breve è: non necessariamente devi fermarti, ma non puoi partire senza aver consultato il Garante.
Quando il rischio residuo è «elevato»
Le linee guida fanno esempi concreti di rischio residuo inaccettabile: conseguenze significative o irreversibili che l’interessato non può superare — l’accesso a dati che mettono in pericolo la vita, la perdita del posto di lavoro, un danno finanziario rilevante — oppure vulnerabilità note a cui non si riesce a porre rimedio.
Il metro non è il rischio per l’azienda: è il rischio per i diritti e le libertà degli interessati.
La prima alternativa: abbassare il rischio invece di consultare
Prima di aprire la procedura vale la pena chiedersi se il rischio residuo sia davvero irriducibile. Spesso non lo è: ridurre le categorie di dati, accorciare la conservazione, pseudonimizzare, eliminare una funzionalità marginale che concentra gran parte del rischio. Se queste modifiche riportano il residuo a un livello accettabile, il trattamento parte senza consultazione e la documentazione resta agli atti.
La consultazione preventiva, passo per passo
Se il rischio resta elevato, l’art. 36 impone di interpellare l’autorità prima di procedere.
Che cosa si trasmette: la valutazione d’impatto, la descrizione delle responsabilità fra titolare, contitolari e responsabili, le finalità e i mezzi del trattamento, le misure e le garanzie adottate, i recapiti del DPO.
Quanto dura: il Garante fornisce un parere scritto entro otto settimane dal ricevimento della richiesta. Il termine è prorogabile di sei settimane in ragione della complessità, e la proroga va comunicata entro il primo mese. Nel calcolo del progetto vanno quindi messe in conto fino a quattordici settimane.
I tre esiti possibili
Nessun rilievo: decorso il termine senza obiezioni, il trattamento può iniziare.
Parere con indicazioni: il Garante ritiene che il trattamento violerebbe il Regolamento e fornisce indicazioni scritte da recepire.
Esercizio dei poteri correttivi: l’autorità può esercitare tutti i poteri dell’art. 58 — avvertimento, limitazione, fino al divieto di trattamento.
Quello che non si può fare
Partire e consultare dopo. La consultazione è preventiva per definizione: avviare il trattamento con un rischio residuo elevato accertato, senza aver interpellato l’autorità, somma alla violazione dell’art. 36 la consapevolezza documentata del rischio — perché è la tua stessa DPIA a dimostrare che lo sapevi.
Il quadro completo — quando la valutazione è obbligatoria, che cosa deve contenere e come si svolge — è nella guida alla valutazione d’impatto (DPIA).