TL;DR
La DPIA è obbligatoria prima dell'inizio del trattamento quando è probabile un rischio elevato. L'elenco del Presidente dell'UODO (M.P. 2019 poz. 666) enumera dodici categorie di operazioni. Le WP248 danno nove criteri: soddisfarne due di solito significa che la valutazione serve. Se il rischio resta alto, l'art. 36 impone la consultazione dell'autorità prima di partire.
L'errore più frequente non riguarda il contenuto, ma il momento
L'art. 35, par. 1 lo dice senza margini: la valutazione si effettua PRIMA di procedere al trattamento. Nella pratica la DPIA nasce quasi sempre quando il sistema è già in funzione e qualcuno — un cliente, un auditor, l'autorità — la chiede. Un documento scritto dopo può essere corretto nel merito e non assolvere comunque l'obbligo, perché la valutazione serve a decidere se procedere, non a giustificare che si è proceduto. È una differenza che si legge nella data del documento e che nessuna riscrittura successiva sistema.
L'elenco dell'autorità e i criteri WP248 sono due strumenti diversi
Il comunicato del Presidente dell'UODO del 17 giugno 2019, pubblicato nel Monitor Polski (M.P. 2019 poz. 666), contiene l'elenco di dodici categorie di operazioni che richiedono la valutazione, con esempi. L'elenco però non è l'unico riferimento: accanto stanno le linee guida del Gruppo di lavoro Art. 29 (WP248 rev.01), fatte proprie dall'EDPB, che indicano nove criteri — valutazione o punteggio, decisioni automatizzate con effetto giuridico, monitoraggio sistematico, categorie particolari di dati, trattamento su larga scala, incrocio di insiemi di dati, interessati vulnerabili, uso innovativo di tecnologie, impedimento all'esercizio di un diritto o all'accesso a un servizio. Soddisfarne due di solito significa che la DPIA è dovuta.
- L'elenco dell'autorità funziona in una direzione sola: se l'operazione c'è, la DPIA serve. Se non c'è, non significa che non serva.
- L'art. 35, par. 7 fissa il contenuto minimo: descrizione sistematica delle operazioni e delle finalità, valutazione di necessità e proporzionalità, valutazione dei rischi per i diritti e le libertà, misure previste per affrontarli.
- L'art. 35, par. 9: il titolare raccoglie le opinioni degli interessati o dei loro rappresentanti, salvo impossibilità o pregiudizio agli interessi commerciali. L'assenza di consultazione va motivata, non taciuta.
- L'art. 36: se nonostante le misure il rischio resta elevato, prima di iniziare si consulta l'autorità. Il termine di risposta è di otto settimane, prorogabili di sei.
Il modello è un punto di partenza, non il documento finale
Un modello di DPIA descrive una struttura, non il vostro trattamento. Una valutazione che nessuno ha adattato alle categorie di dati, alla scala e alle tecnologie concrete si riconosce a colpo d'occhio ed è debole in qualunque contenzioso: non contiene nulla che non si sarebbe potuto scrivere senza conoscere l'organizzazione. Il modello fa risparmiare un'ora di impaginazione, non l'analisi.
Vale anche l'art. 35, par. 11: la valutazione va riesaminata quando il rischio cambia. Un cambio di fornitore, un modulo nuovo, un trasferimento fuori dallo SEE possono invalidare una DPIA di due anni fa. Non è un documento d'archivio: è il verbale vivo di una decisione.
Stai cercando un gestionale per il tuo lavoro di DPO?
DPO Workspace e' costruito da un DPO certificato. 30 giorni di prova gratuita.
Inizia gratis
