Valutazione d’impatto sulla protezione dei dati: quando e come realizzare una DPIA

Il Regolamento Europeo sulla protezione dei dati personali n. 679/2016 (anche noto come GDPR) introduce all’art. 35 la data protection impact assessment (DPIA) ovvero la valutazione d’impatto sulla protezione dei dati.

Cos’è la valutazione d’impatto sulla protezione dei dati

La valutazione d’impatto sulla protezione dei dati (DPIA) è una procedura finalizzata a descrivere il trattamento, valutarne necessità e proporzionalità, e facilitare la gestione dei rischi per i diritti e le libertà delle persone fisiche derivanti dal trattamento dei loro dati personali.

L’art. 35 del GDPR al n. 1 precisa che “Quando un tipo di trattamento, allorché prevede in particolare l’uso di nuove tecnologie, considerati la natura, l’oggetto, il contesto e le finalità del trattamento, può presentare un rischio elevato per i diritti e le libertà delle persone fisiche, il titolare del trattamento effettua, prima di procedere al trattamento, una valutazione dell’impatto dei trattamenti previsti sulla protezione dei dati personali”.

La valutazione d’impatto sulla protezione dei dati deve essere effettuata dal titolare del trattamento avvalendosi, se nominato, del responsabile della protezione dei dati (DPO). Il principio di carattere generale prevede quindi l’obbligo soltanto se il trattamento è suscettibile di causare un rischio elevato evidenziando come elemento determinante l’uso di nuove tecnologie.

Sicuramente una delle funzioni della DPIA è quella di permettere al titolare di realizzare e dimostrare la conformità alla complessa normativa sulla protezione dei dati personali.

In altre parole, la valutazione di impatto può essere considerata come uno strumento utile per effettuare una valutazione del livello del rischio e determinare le misure idonee a mitigarlo.

DPIA e analisi dei rischi

Con l’introduzione del GDPR è cambiato l’approccio alla materia della protezione dei dati personali, infatti, sparisce il concetto di misure minime di sicurezza e di conseguenza l’allegato B) del D.lgs. 196/2003 poi definitivamente abrogato dal D.lgs. 101/2018, e viene introdotto il concetto di misure di sicurezza adeguate al rischio.

In ossequio al principio di accountability, pertanto, il titolare del trattamento ha l’onere di effettuare preventivamente l’analisi dei rischi dei trattamenti posti in essere.

Peraltro tutte le altre normative europee parlano di misure di sicurezza adeguate al rischio si pensi ad esempio alla Direttiva (UE) 2016/680 del Parlamento europeo e del Consiglio, del 27 aprile 2016, relativa alla protezione delle persone fisiche con riguardo al trattamento dei dati personali da parte delle autorità competenti a fini di prevenzione, indagine, accertamento e perseguimento di reati o esecuzione di sanzioni penali, nonché alla libera circolazione di tali dati, che all’art. 29 rubricato “Sicurezza del trattamento” parla di misure adeguate al rischio, o anche il Regolamento (UE) eIDAS n. 910/2014 che all’art. 19 rubricato “ Requisiti di sicurezza relativi ai prestatori di servizi fiduciari” parla di misure tecniche ed organizzative appropriate.

L’analisi dei rischi (risk analysis) diventa, quindi, un processo fondamentale alla base della sicurezza dei dati attraverso la quale vengono elencati i possibili rischi associabili al contesto, analizzandoli nel loro valore insito (senza considerare le contromisure) e nel loro valore residuo (valutandone gli effetti delle contromisure).

L’art. 24 del Regolamento precisa, ancora, che tenuto conto della natura, dell’ambito di applicazione, del contesto e delle finalità del trattamento, nonché dei rischi aventi probabilità e gravità diverse per i diritti e le libertà delle persone fisiche, il titolare del trattamento mette in atto misure tecniche e organizzative adeguate per garantire, ed essere in grado di dimostrare, che il trattamento è effettuato conformemente al presente regolamento. Dette misure sono riesaminate e aggiornate qualora necessario.

È opportuno rammentare, inoltre, che quando l’art. 32 parla di misure di sicurezza si riferisce anche alle misure organizzative, spesso trascurate, per garantire un livello di sicurezza adeguato al rischio.

La formazione dei dipendenti e collaboratori sulle normative e tecnologie in materia di protezione dei dati nonché sulle best practice di sicurezza e la predisposizione di procedure sono fondamentali per creare una cultura aziendale orientata alla protezione dei dati.

Quando effettuare la valutazione d’impatto sulla protezione dei dati

L’articolo 35, comma 3, del GDPR indica alcuni esempi in cui è necessario effettuare la valutazione di impatto ovvero:

1. una valutazione sistematica e globale di aspetti personali relativi a persone fisiche, basata su un trattamento automatizzato, compresa la profilazione, e sulla quale si fondano decisioni che hanno effetti giuridici o incidono in modo analogo significativamente su dette persone fisiche;
2. il trattamento, su larga scala, di categorie particolari di dati personali (articolo 9 del GDPR) o di dati relativi a condanne penali e a reati (cfr. articolo 10 del GDPR);
3. la sorveglianza sistematica su larga scala di una zona accessibile al pubblico.

Tale elenco non può considerarsi esaustivo. Allo scopo di aiutare il titolare del trattamento in ordine alla necessità di realizzare la DPIA, il Gruppo di lavoro ex art. 29 ha individuato alcuni criteri per determinarne la necessità ovvero:

1. processo decisionale automatizzato;
2. monitoraggio sistematico;
3. dati sensibili o aventi carattere altamente personale;
4. trattamento dei dati su larga scala;
5. dati relativi a interessi vulnerabili;
6. uso innovativo o applicazione di nuove soluzioni tecnologiche;
7. ipotesi in cui il trattamento impedisce agli interessati di esercitare un diritto o avvalersi di un servizio.

Il Gruppo di lavoro ex art. 29 ha comunque suggerito di procedere alla valutazione d’impatto sulla protezione dei dati in caso di dubbio sulla necessità di realizzarla.

L’obbligo di effettuare una DPIA grava sul titolare del trattamento, sul quale incombe, altresì, l’obbligo di effettuare un controllo periodico.

Il titolare per lo svolgimento di queste attività può avvalersi anche di altri soggetti, interni o esterni, all’organizzazione con funzione consulenziale. In ottica del principio di accountability il titolare è tenuto a controllare che siano coinvolti soggetti competenti in merito alle attività da porre in essere al fine di definire compiutamente l’elaborato conclusivo. Tra questi soggetti, ove nominato, riveste un ruolo fondamentale il DPO che dovrà sorvegliare le operazioni e su richiesta del titolare dovrà predisporre un parere.

La DPIA deve essere effettuata prima di procedere ad un determinato trattamento che possa presentare un rischio elevato per i diritti e le libertà delle persone fisiche ovvero quando vi è ancora la possibilità di indirizzare il trattamento stesso in ottica della c.d. “privacy by design”, come previsto anche dallo standard ISO/IEC 29134:2017 “Information technology — Security techniques — Guidelines for privacy impact assessment”, utile per strutturare al meglio un processo DPIA e le relative responsabilità all’interno dell’organizzazione.

Come effettuare la valutazione d’impatto sulla protezione dei dati

Uno strumento utile per la gestione di un processo DPIA è “PIA”, software scaricabile gratuitamente dal sito di CNIL (Autorità francese per la protezione dei dati), concepito principalmente per le PMI ma che può costituire un utile supporto metodologico.

Inoltre, è interessante evidenziare come l’autorità francese abbia pubblicato nel mese di settembre 2019 un elenco, non esaustivo, di trattamenti che per loro natura, ambito, contesto e finalità, non richiedono la redazione di una valutazione di impatto.

La valutazione di impatto sulla protezione dei dati dovrebbe essere soggetta a revisione continua e quindi sarebbe buona norma ripetere la valutazione a intervalli regolari.

Un buon metodo per monitorare l’efficacia di questo processo è sicuramente quello di utilizzare il ciclo PDCA (plan-do-check-act), conosciuto come ciclo di Deming che si suddivide in 4 fasi di intervento ovvero:

1. Plan: in questa fase è opportuno procedere alla pianificazione delle attività provvedendo all’analisi dei flussi, alla mappatura dei processi impattanti sul trattamento dei dati nonché ad effettuare una prima analisi dei trattamenti da sottoporre a valutazione;
2. Do: in questa fase si procederà alla valutazione dei processi di trattamento sulla base delle metodologie predisposte nella precedente fase;
3. Check: in questa fase si procede alla gestione dei rischi distinguendo tra rischio insito e residuale e, quindi, verificando in merito agli eventuali rischi residuali la necessità di procedere alla consultazione preventiva del Garante ai sensi dell’art. 36;
4. Act: in quest’ultima fase si provvede al consolidamento e implementazione dei processi e degli strumenti sulla base delle rilevazioni ottenute dalla verifica. Sulla base delle attività di verifica e monitoraggio, si esaminano i risultati ottenuti, le problematiche eventualmente emerse nella fase di esecuzione e si definiscono le successive attività per consolidare gli obiettivi raggiunti e migliorare i processi. Inoltre, in tale fase vengono individuate le azioni correttive che permettono di risolvere eventuali non conformità emerse.

Sicuramente al fine di condurre la valutazione e la gestione dei rischi è utile seguire metodologie già rodate come ad esempio quelle sviluppate in ambito internazionale ed in particolare la ISO 31000:2010 – Risk Management e la ISO 27005:2011 – Information security risk management.

Rispetto al contenuto è opportuno che una valutazione di impatto riporti le seguenti informazioni che rappresentano il nucleo essenziale senza cui la DPIA è da considerarsi incompleta, ovvero:

1. una descrizione sistematica dei trattamenti e delle finalità;
2. una valutazione della proporzionalità dei trattamenti rispetto alle finalità;
3. una valutazione dei rischi per i diritti e le libertà degli interessati;
4. misure previste per gestire e mitigare i rischi.

Conclusioni

La valutazione d’impatto sulla protezione dei dati, si ribadisce, deve essere effettuata con un approccio teso al miglioramento continuo anche in ottica delle continue evoluzioni tecnologiche.

È necessario formalizzare i risultati di volta in volta elaborati e, quindi, documentare tutte le fasi del processo partendo dalle valutazioni preliminari sino alla verifica e monitoraggio in modo da creare un report conclusivo in grado di dimostrare le operazioni compiute e i risultati ottenuti.