#Finsubito news – DPIA obbligatoria: quando serve alle aziende e cosa fare | Studio Legale Calvello

Articolo a cura di: Redazione – Studio Legale Calvello

La valutazione d’impatto sulla protezione dei dati (DPIA) è obbligatoria quando un trattamento di dati personali, considerate la sua natura, il contesto, le finalità e le tecnologie utilizzate, può presentare un rischio elevato per i diritti e le libertà delle persone. Per un’azienda, il problema si pone soprattutto quando vengono introdotti sistemi di videosorveglianza, strumenti di monitoraggio dei lavoratori, software di profilazione, applicazioni di intelligenza artificiale o trattamenti su larga scala di dati particolarmente delicati. L’articolo 35 del GDPR richiede che la valutazione sia effettuata prima di iniziare il trattamento, senza attendere un’ispezione o una contestazione del Garante Privacy. Stabilire se l’obbligo sussista richiede un esame concreto delle operazioni previste: la dimensione dell’impresa, da sola, non è sufficiente per escluderlo.

Quando la DPIA è obbligatoria e come deve comportarsi l’azienda

L’articolo 35 del Regolamento (UE) 2016/679 impone al titolare del trattamento di effettuare una valutazione d’impatto quando il trattamento previsto, in particolare attraverso l’utilizzo di nuove tecnologie, può presentare un rischio elevato per i diritti e le libertà delle persone fisiche. La DPIA non è quindi un documento obbligatorio per qualsiasi trattamento aziendale, ma uno strumento preventivo richiesto quando le caratteristiche delle operazioni rendono necessario esaminare approfonditamente i rischi e le misure destinate a contenerli.

La normativa individua espressamente alcune situazioni nelle quali la valutazione è richiesta: la valutazione sistematica e globale di aspetti personali mediante trattamenti automatizzati, compresa la profilazione, quando su tali valutazioni si fondano decisioni che producono effetti giuridici o incidono in modo analogamente significativo sulle persone; il trattamento su larga scala di categorie particolari di dati personali o di dati relativi a condanne penali e reati; la sorveglianza sistematica su larga scala di una zona accessibile al pubblico. Queste ipotesi non esauriscono i casi di obbligatorietà, perché il criterio generale rimane quello del rischio elevato.

Per comprendere se un’azienda deve fare la DPIA, occorre quindi esaminare le modalità effettive del trattamento. L’installazione di telecamere in uno stabilimento, ad esempio, non comporta automaticamente l’obbligo in ogni situazione. La valutazione cambia quando il sistema consente un monitoraggio sistematico particolarmente invasivo, utilizza tecnologie di riconoscimento delle persone oppure raccoglie informazioni che possono essere impiegate per ricostruire continuativamente comportamenti e attività dei lavoratori. Analogamente, l’adozione di un normale gestionale non richiede necessariamente una DPIA, mentre un software che analizza automaticamente prestazioni, produttività o comportamenti dei dipendenti può presentare caratteristiche tali da renderla necessaria.

Un riferimento operativo è costituito dall’elenco dei trattamenti soggetti a valutazione d’impatto individuato dal Garante per la protezione dei dati personali, adottato con il provvedimento dell’11 ottobre 2018, n. 467, in applicazione dell’articolo 35, paragrafo 4, del GDPR. L’elenco comprende, tra gli altri, trattamenti valutativi o di scoring su larga scala, trattamenti che comportano il monitoraggio sistematico degli interessati, utilizzi innovativi di tecnologie in determinate condizioni e trattamenti che prevedono l’interconnessione di dati personali provenienti da fonti differenti, secondo i presupposti specificamente indicati dall’Autorità.

Nella verifica assumono rilievo anche i criteri elaborati nelle linee guida europee sulla DPIA, originariamente adottate dal Gruppo di lavoro Articolo 29 e successivamente fatte proprie dal Comitato europeo per la protezione dei dati. Tra questi figurano la profilazione, il monitoraggio sistematico, l’utilizzo di dati altamente personali, il trattamento su larga scala, il coinvolgimento di soggetti vulnerabili e l’impiego innovativo di tecnologie. La presenza di due criteri costituisce generalmente un indice della necessità della valutazione, ma non rappresenta una soglia automatica: anche un solo criterio può rendere necessaria la DPIA quando il rischio concreto è elevato.

La verifica riguarda anche le piccole e medie imprese. Un’azienda con pochi dipendenti potrebbe utilizzare sistemi di controllo particolarmente invasivi, mentre una società di grandi dimensioni potrebbe effettuare trattamenti ordinari che non richiedono una valutazione d’impatto. Per questo motivo, nell’ambito dell’adeguamento GDPR aziendale, riteniamo necessario distinguere i trattamenti che richiedono una DPIA da quelli per i quali è sufficiente documentare una diversa valutazione dei rischi. Anche la decisione di non effettuare la DPIA dovrebbe essere adeguatamente motivata e documentata, in coerenza con il principio di responsabilizzazione del titolare.

Videosorveglianza, dipendenti, dati sanitari e intelligenza artificiale: i trattamenti da verificare

Le situazioni nelle quali un’impresa deve interrogarsi sull’obbligo della DPIA emergono spesso durante decisioni organizzative apparentemente ordinarie. L’acquisto di un software, l’introduzione di nuove telecamere, la digitalizzazione delle attività del personale o l’utilizzo di algoritmi per analizzare i clienti possono modificare sensibilmente i rischi connessi al trattamento dei dati personali. La verifica deve precedere l’attivazione del sistema, quando è ancora possibile modificarne le caratteristiche tecniche e organizzative.

Nel settore della videosorveglianza aziendale, occorre considerare l’estensione delle aree riprese, la continuità delle registrazioni, il numero di persone interessate, le funzionalità del sistema e l’eventuale possibilità di identificare o seguire singoli individui. Le telecamere tradizionali non richiedono indistintamente una DPIA, ma sistemi di analisi automatizzata delle immagini, riconoscimento facciale o monitoraggio sistematico su larga scala possono determinare un rischio elevato. Quando le riprese riguardano i lavoratori, resta inoltre necessario rispettare l’articolo 4 della legge n. 300/1970, ove applicabile: la DPIA non sostituisce l’accordo sindacale o l’autorizzazione dell’Ispettorato del Lavoro eventualmente necessari.

Un’attenzione specifica riguarda i programmi utilizzati dagli uffici HR e dai responsabili IT. Software che registrano sistematicamente le attività svolte sui dispositivi aziendali, misurano la produttività individuale, analizzano le comunicazioni o elaborano valutazioni automatizzate dei dipendenti possono richiedere una DPIA in funzione delle modalità concrete di funzionamento. Lo stesso problema si presenta con i sistemi GPS installati sui veicoli aziendali, soprattutto quando consentono una ricostruzione continuativa degli spostamenti dei lavoratori. Non basta verificare che il fornitore dichiari il prodotto conforme al GDPR: il titolare deve valutare come il sistema sarà effettivamente utilizzato nella propria organizzazione.

Per le aziende che trattano dati relativi alla salute, l’obbligo dipende anche dalla scala e dalle caratteristiche delle operazioni. Cliniche private, poliambulatori, laboratori diagnostici e altre strutture sanitarie devono esaminare con particolare attenzione i trattamenti su larga scala di dati sanitari, l’interconnessione di archivi clinici e l’utilizzo di piattaforme per il monitoraggio dei pazienti. Il semplice trattamento di un dato sanitario non determina automaticamente l’obbligo della DPIA, ma la combinazione tra delicatezza delle informazioni, quantità di dati, vulnerabilità degli interessati e modalità di accesso può rendere necessaria una valutazione approfondita.

Un’ulteriore area riguarda l’intelligenza artificiale utilizzata nei processi aziendali. Algoritmi impiegati per selezionare candidati, valutare lavoratori, attribuire punteggi ai clienti o assumere decisioni automatizzate possono incidere significativamente sulle persone. In questi casi occorre esaminare i dati utilizzati, le finalità dell’elaborazione, la possibilità di errori o discriminazioni, il grado di intervento umano e le conseguenze delle decisioni. L’utilizzo di intelligenza artificiale non comporta automaticamente l’obbligo della DPIA, ma non lo esclude neppure quando il software è acquistato da un fornitore esterno. Devono essere considerate anche le disposizioni applicabili del Regolamento europeo sull’intelligenza artificiale, mantenendo distinta la DPIA dagli eventuali ulteriori obblighi di valutazione previsti da tale disciplina.

La profilazione commerciale richiede un’analisi altrettanto concreta. Un e-commerce che registra gli acquisti dei clienti per gestire gli ordini si trova in una situazione diversa rispetto a una piattaforma che combina sistematicamente dati di navigazione, comportamenti, informazioni provenienti da terzi e algoritmi predittivi per elaborare profili individuali. Quando la profilazione raggiunge determinate caratteristiche di scala, sistematicità o incidenza sugli interessati, può rendersi obbligatoria la valutazione d’impatto.

Il ruolo dei fornitori tecnologici deve essere esaminato insieme a quello del titolare. Se il trattamento viene affidato a un responsabile esterno ai sensi dell’articolo 28 GDPR, quest’ultimo è tenuto ad assistere il titolare, tenendo conto della natura del trattamento e delle informazioni a sua disposizione, nell’adempimento degli obblighi relativi alla DPIA e alla consultazione preventiva. La responsabilità di valutare la necessità della DPIA rimane però in capo al titolare del trattamento. Il parere del DPO, quando designato, deve essere richiesto nell’effettuazione della valutazione, senza confondere la funzione consultiva e di sorveglianza del responsabile della protezione dei dati con le decisioni spettanti all’impresa.

La verifica deve infine essere coordinata con il registro delle attività di trattamento, che permette di ricostruire finalità, categorie di dati, destinatari e caratteristiche delle operazioni. Il registro non sostituisce la DPIA, ma fornisce informazioni utili per individuare i trattamenti da sottoporre a valutazione. Quando l’azienda introduce nuove tecnologie o modifica sostanzialmente sistemi già utilizzati, questi elementi consentono di stabilire se sia necessaria una nuova valutazione oppure una revisione di quella esistente.

Come effettuare la DPIA: obblighi, responsabilità e rischi per l’azienda

Una volta accertata la necessità della valutazione d’impatto, l’azienda deve predisporre un’analisi documentata del trattamento prima della sua attivazione. L’articolo 35, paragrafo 7, del GDPR individua quattro contenuti minimi: la descrizione sistematica delle operazioni e delle finalità, la valutazione della necessità e proporzionalità del trattamento, l’analisi dei rischi per i diritti e le libertà degli interessati e l’individuazione delle misure previste per affrontarli. La DPIA non può ridursi alla compilazione di un modulo standard, perché deve rappresentare fedelmente il funzionamento del sistema utilizzato dall’impresa e le conseguenze che il trattamento potrebbe produrre sulle persone.

Il primo passaggio consiste nel ricostruire le operazioni effettivamente previste: quali dati vengono raccolti, da quali soggetti, attraverso quali strumenti, per quali finalità, per quanto tempo vengono conservati e chi può accedervi. Occorre considerare anche gli eventuali trasferimenti di dati, l’intervento di fornitori esterni e le modalità attraverso le quali le informazioni vengono combinate o elaborate. Per un sistema di monitoraggio dei dipendenti, ad esempio, non sarebbe sufficiente indicare genericamente che il software raccoglie dati relativi all’attività lavorativa. Bisognerebbe comprendere quali informazioni registra, se permette di ricostruire il comportamento individuale, chi consulta i risultati e quali decisioni aziendali possono derivarne.

La seconda fase riguarda la necessità e proporzionalità del trattamento. L’azienda deve verificare se le finalità perseguite siano legittime, se i dati raccolti siano effettivamente necessari e se esistano modalità meno invasive per raggiungere il medesimo obiettivo. L’analisi deve considerare anche la base giuridica applicabile, le modalità di informazione degli interessati e le garanzie previste per l’esercizio dei loro diritti. Una DPIA non rende lecito un trattamento che presenta autonomi profili di illegittimità: la valutazione serve anche a individuare eventuali criticità che richiedono una modifica del progetto.

Segue l’esame dei rischi, che devono essere valutati dal punto di vista delle persone interessate e non soltanto in relazione alla sicurezza informatica o alle possibili conseguenze economiche per l’impresa. La divulgazione di informazioni sanitarie, l’utilizzo improprio di dati biometrici, una decisione automatizzata discriminatoria o il monitoraggio eccessivo dei lavoratori possono incidere sulla riservatezza, sulla dignità e sull’esercizio di altri diritti individuali. La valutazione deve considerare la probabilità e la gravità delle conseguenze, tenendo conto delle caratteristiche concrete del trattamento.

Le misure individuate possono comprendere la limitazione dei dati raccolti, la riduzione dei tempi di conservazione, la separazione degli archivi, la cifratura, la pseudonimizzazione, la regolamentazione degli accessi e l’introduzione di controlli sulle decisioni automatizzate. La scelta dipende dai rischi effettivamente rilevati. In questo ambito, il collegamento con i principi di privacy by design e by default permette di intervenire sulle caratteristiche del trattamento prima che il sistema venga messo in funzione.

La responsabilità della DPIA appartiene al titolare del trattamento, che può avvalersi di professionisti esterni per le attività di analisi e redazione. Il responsabile del trattamento deve prestare l’assistenza prevista dall’articolo 28 GDPR, mentre il DPO, quando nominato, deve essere consultato e svolge le funzioni di consulenza e sorveglianza attribuitegli dal Regolamento. Il coinvolgimento di queste figure non trasferisce automaticamente la responsabilità delle decisioni aziendali. Quando appropriato, il titolare deve inoltre raccogliere le opinioni degli interessati o dei loro rappresentanti, fermo restando il rispetto degli interessi commerciali, pubblici e della sicurezza dei trattamenti.

Una questione particolarmente delicata riguarda l’esito della valutazione. Se la DPIA indica che il trattamento presenterebbe un rischio elevato in assenza di misure adottate dal titolare per attenuarlo, occorre verificare l’efficacia delle misure individuate. Quando permane un rischio residuo elevato che non può essere sufficientemente mitigato, l’articolo 36 GDPR impone la consultazione preventiva del Garante Privacy prima di procedere al trattamento. La consultazione non costituisce un’autorizzazione ordinariamente richiesta per ogni DPIA, ma un adempimento collegato alle specifiche condizioni previste dalla normativa.

La mancata effettuazione di una DPIA obbligatoria può determinare una violazione dell’articolo 35 GDPR, soggetta al regime sanzionatorio previsto dall’articolo 83, paragrafo 4, del Regolamento, che contempla sanzioni amministrative pecuniarie fino a 10 milioni di euro oppure, per le imprese, fino al 2% del fatturato mondiale totale annuo dell’esercizio precedente, se superiore. Si tratta di massimali normativi, non di importi automaticamente applicati: l’eventuale sanzione dipende dalle circostanze della violazione e dai criteri stabiliti dal GDPR. La mancanza della DPIA può inoltre assumere rilievo nell’ambito di un accertamento più ampio sulla liceità e sulla sicurezza del trattamento.

Per questo motivo, quando un’impresa scopre di aver avviato un trattamento senza aver effettuato una DPIA che risultava obbligatoria, è necessario verificare tempestivamente la situazione, ricostruire i rischi e individuare gli interventi appropriati. La predisposizione tardiva della valutazione non elimina retroattivamente l’inadempimento. Occorre anche stabilire se il trattamento possa proseguire nelle condizioni esistenti o richieda modifiche, limitazioni o sospensione. Per gli approfondimenti specifici sulle conseguenze della documentazione assente o non aggiornata, rinviamo al nostro articolo DPIA mancante o non aggiornata: quali rischi corre l’azienda.

Un esempio pratico: l’introduzione di un software di monitoraggio dei dipendenti

Consideriamo il caso ipotetico di un’azienda di servizi che intende introdurre un nuovo software per organizzare il lavoro e misurare l’efficienza delle attività svolte dai dipendenti. Il programma consente di registrare i tempi di utilizzo delle applicazioni, raccogliere informazioni sulle operazioni effettuate e produrre report individuali destinati ai responsabili aziendali. La direzione ritiene inizialmente che sia sufficiente aggiornare l’informativa privacy, poiché il fornitore dichiara che il software rispetta il GDPR.

Prima dell’attivazione, una verifica giuridica e organizzativa permette di individuare un problema più articolato. Le funzionalità disponibili potrebbero consentire un monitoraggio sistematico dei lavoratori e una valutazione individuale delle loro prestazioni. Diventa quindi necessario esaminare l’obbligo della DPIA alla luce dell’articolo 35 GDPR, delle caratteristiche del trattamento e dei criteri individuati dalle autorità di protezione dei dati. Parallelamente, occorre verificare l’applicabilità dell’articolo 4 dello Statuto dei lavoratori, poiché la conformità privacy non esaurisce gli obblighi previsti dalla disciplina sui controlli a distanza.

In una situazione del genere, il nostro intervento professionale sarebbe rivolto anzitutto alla ricostruzione delle funzionalità effettivamente utilizzate, alla verifica delle finalità aziendali e all’individuazione dei dati strettamente necessari. Particolare attenzione richiederebbe la possibilità di utilizzare i report per decisioni riguardanti i singoli dipendenti. Qualora la DPIA risultasse obbligatoria, la valutazione dovrebbe essere completata prima dell’avvio del trattamento, individuando le misure necessarie per contenere i rischi. L’azienda potrebbe quindi valutare, sulla base delle risultanze dell’analisi, se modificare le impostazioni del software, limitarne determinate funzionalità o rivedere il progetto organizzativo.

Domande frequenti sulla DPIA e sugli obblighi delle aziende

Un’azienda con meno di 250 dipendenti deve effettuare la DPIA?

Sì, quando il trattamento presenta un rischio elevato per i diritti e le libertà delle persone. Il numero dei dipendenti non costituisce un’esenzione dall’obbligo della DPIA. Anche una piccola impresa può essere tenuta a effettuare la valutazione, ad esempio quando utilizza sistemi di monitoraggio particolarmente invasivi o tratta dati personali mediante tecnologie che comportano rischi elevati. La verifica deve riguardare le caratteristiche effettive del trattamento, non soltanto le dimensioni aziendali.

La DPIA è obbligatoria anche se l’azienda non deve nominare un DPO?

Sì. L’obbligo di effettuare la valutazione d’impatto e quello di nominare un responsabile della protezione dei dati rispondono a presupposti normativi differenti. Un’impresa può essere obbligata a predisporre una DPIA anche quando non è tenuta a nominare un DPO. Se il DPO è stato designato, il titolare deve richiederne il parere nell’effettuazione della valutazione, secondo quanto previsto dall’articolo 35, paragrafo 2, GDPR.

È necessario effettuare una nuova DPIA ogni volta che l’azienda cambia software?

Non automaticamente. Occorre verificare se il cambiamento modifica le caratteristiche del trattamento o i rischi precedentemente valutati. L’introduzione di nuove funzionalità di profilazione, monitoraggio o analisi automatizzata potrebbe richiedere una revisione della DPIA esistente oppure una nuova valutazione. L’articolo 35, paragrafo 11, GDPR prevede il riesame della valutazione quando necessario, almeno in presenza di variazioni del rischio rappresentato dalle operazioni di trattamento. Non esiste una scadenza annuale generalizzata della DPIA.

La DPIA deve essere inviata al Garante Privacy?

Di regola, no. La valutazione d’impatto è un documento predisposto e conservato dal titolare del trattamento, che deve poter dimostrare il rispetto degli obblighi applicabili. Non è previsto un invio automatico al Garante per ogni DPIA effettuata. Quando ricorrono le condizioni dell’articolo 36 GDPR, in particolare in presenza di un rischio residuo elevato che non può essere sufficientemente mitigato, diventa invece necessaria la consultazione preventiva dell’Autorità prima di procedere al trattamento.

Quanto costa una valutazione d’impatto privacy e a chi può essere affidata?

Il costo dipende dal numero e dalla complessità dei trattamenti da esaminare, dalle tecnologie utilizzate, dalla documentazione disponibile e dall’eventuale coinvolgimento di più fornitori o strutture aziendali. La DPIA può essere predisposta con il supporto di un avvocato esperto in GDPR o di altri professionisti qualificati, ferma restando la responsabilità del titolare del trattamento. Prima di formulare un preventivo è opportuno verificare quali operazioni richiedano effettivamente la valutazione e quali attività tecniche e giuridiche siano necessarie.

Verificare l’obbligo della DPIA con l’assistenza dello Studio Legale Calvello

Quando un’azienda introduce sistemi di videosorveglianza, software di monitoraggio, strumenti di intelligenza artificiale o trattamenti complessi di dati personali, è necessario stabilire preventivamente se ricorrono i presupposti per effettuare una valutazione d’impatto obbligatoria ai sensi dell’articolo 35 GDPR. Una verifica professionale permette di esaminare le caratteristiche del trattamento, individuare gli obblighi applicabili e valutare le misure organizzative e giuridiche necessarie.

Lo Studio Legale Calvello, con oltre 25 anni di esperienza professionale, assiste le imprese nell’analisi degli obblighi privacy, nella verifica della necessità della DPIA e nella gestione delle problematiche connesse alla conformità GDPR. Se la vostra azienda deve attivare un nuovo trattamento, verificare una valutazione già predisposta o chiarire se sia obbligatorio procedere prima dell’utilizzo di un sistema, potete richiedere una valutazione attraverso il modulo dedicato alla consulenza GDPR e privacy aziendale. Esamineremo la richiesta per individuare le questioni che richiedono un approfondimento professionale.