15 Ago Il Garante mi ha chiesto la DPIA e non ce l’ho: cosa succede ora?
È arrivata una richiesta, o un’ispezione, e la valutazione d’impatto non esiste. Prima di tutto un chiarimento che serve a inquadrare la situazione: la DPIA non va inviata al Garante né pubblicata. Resta agli atti del titolare e viene esibita su richiesta o in caso di consultazione preventiva. La richiesta che hai ricevuto è quindi del tutto legittima, ed è il momento in cui quel documento deve esistere.
Primo passo: verificare se era davvero dovuta
Non tutti i trattamenti la richiedono. Prima di dichiarare un’omissione, va verificato se il trattamento supera la soglia del rischio elevato: i tre casi dell’art. 35, par. 3, i nove criteri del WP248 — due su nove indicano di norma rischio elevato — e le dodici tipologie dell’elenco del Garante.
Il bivio
Se la valutazione non era dovuta, quello che si produce è la valutazione di soglia: il documento che spiega quali criteri sono stati esaminati e perché non sono stati ritenuti integrati. Se esiste, la posizione è solida.
Se non esiste nemmeno quella, la lacuna è minore ma reale: davanti all’autorità non c’è differenza fra «non era dovuta» e «non ci abbiamo pensato», perché manca la prova del ragionamento.
Se la valutazione era dovuta e non c’è, l’omissione è conclamata. Da qui la strada è una sola, ed è quella di limitare il danno.
Cosa non fare, mai
Non costruire un documento con una data anteriore. La data di creazione di un file è ricostruibile, e in un procedimento in cui l’autorità sta già guardando i tuoi atti è esattamente la cosa che verrà guardata. Una DPIA mancante è una violazione dell’art. 35; una DPIA retrodatata compromette la credibilità di ogni altro documento prodotto, e trasforma un problema circoscritto in un problema di affidabilità complessiva.
Come si rimedia
Redigere la valutazione adesso, con la data reale, dando conto del ritardo. Verificare se il rischio residuo impone la consultazione preventiva ex art. 36. Adottare le misure che ne emergono, con un piano d’azione che indichi responsabile e scadenza per ciascuna. Riscontrare l’autorità nei termini indicati nella richiesta, allegando quello che c’è e dichiarando quello che manca.
La collaborazione documentata e la tempestività del rimedio sono elementi che l’autorità valuta.
Quanto pesa
La sanzione per la mancata o errata valutazione arriva fino a 10 milioni di euro o al 2% del fatturato annuo mondiale, se superiore. E se nel frattempo c’è stata una violazione dei dati personali, l’assenza della DPIA aggrava la posizione, perché dimostra che il rischio non era stato nemmeno esaminato.
Il quadro completo — quando la valutazione è obbligatoria, che cosa deve contenere e come si svolge — è nella guida alla valutazione d’impatto (DPIA).