DPIA e valutazione dell'impatto sulla privacy

Una valutazione dell'impatto sulla protezione dei dati (DPIA) è un processo strutturato richiesto ai sensi dell'articolo 35 del GDPR per le attività di trattamento che comportano rischi elevati per i dati personali degli individui. Una DPIA coglie la natura, l’ambito, il contesto e le finalità del trattamento; valuta la necessità, la proporzionalità e le misure di conformità; identifica e valuta i rischi per i diritti e le libertà degli interessati; e specifica le misure per affrontare tali rischi (controlli di sicurezza, pseudonimizzazione, minimizzazione dei dati, limiti di conservazione). Le risorse di supporto includono mappe del flusso di dati (come i dati personali si spostano attraverso i sistemi e oltre confine), valutazioni degli interessi legittimi e registri dei responsabili dei trattamenti di terze parti.

Le DPIA sono legalmente richieste ai sensi dell’articolo 35 del GDPR per il trattamento che potrebbe comportare un rischio elevato per gli individui, compresa la profilazione sistematica, il trattamento su larga scala di categorie speciali di dati e il monitoraggio sistematico delle aree accessibili al pubblico. La mancata conduzione della DPIA richiesta può comportare sanzioni normative e dimostra una mancanza di responsabilità, un principio chiave del GDPR. Oltre alla conformità legale, le DPIA dimostrano alle autorità di regolamentazione e agli interessati che l’organizzazione ha sistematicamente considerato e affrontato i rischi per la privacy. Sono inoltre sempre più richiesti dalle leggi sulla privacy extra-UE (LGPD brasiliana, GDPR del Regno Unito, CPRA della California) e dalle compagnie assicurative come prova della gestione del rischio privacy.

I rapporti completi della DPIA coprono la valutazione completa: descrizione del trattamento, valutazione della necessità e della proporzionalità, identificazione del rischio, registri delle consultazioni (con il responsabile della protezione dei dati e, ove richiesto, l'autorità di controllo) e misure di mitigazione. Le mappe e gli inventari del flusso di dati mostrano come i dati personali si muovono attraverso i sistemi, oltre i confini e tra i responsabili del trattamento, supportando la registrazione delle attività di trattamento (ROPA) e la disponibilità alla notifica delle violazioni. Le valutazioni dell'interesse legittimo (LIA) sono valutazioni in tre parti necessarie per il trattamento che si basa sull'interesse legittimo come base legale ai sensi dell'articolo 6, paragrafo 1, lettera f), del GDPR. I registri dei responsabili del trattamento di terze parti tengono traccia di tutti i responsabili del trattamento dei dati e dei sub-responsabili, compreso lo stato dell'accordo sul trattamento dei dati (DPA), i meccanismi di trasferimento e l'ubicazione, necessari per la continua responsabilità del GDPR.

Le risorse DPIan, le mappe del flusso di dati e i registri dei processori vengono caricati su Sustalium e collegati ai relativi quadri di conformità alla privacy. Le prove sulla privacy si collegano ai registri di conformità al GDPR, alle procedure relative ai diritti degli interessati e ai protocolli di notifica delle violazioni. Sustalium tiene traccia dei programmi di revisione della DPIA (le DPIA devono essere riviste quando le operazioni di trattamento cambiano in modo significativo) e segnala le DPIA in scadenza per una rivalutazione. I registri dei responsabili sono collegati ai registri degli appalti in modo che i nuovi incarichi dei responsabili attivino automaticamente i requisiti di revisione della DPIA. Per le organizzazioni che operano in più giurisdizioni, Sustalium mappa i requisiti di conformità alla privacy alle implementazioni nazionali applicabili del GDPR e di altre leggi sulla privacy.

Il GDPR è il quadro normativo principale: l’articolo 35 richiede DPIA, l’articolo 30 richiede la registrazione delle attività di trattamento, l’articolo 32 richiede misure di sicurezza registrate e l’articolo 33 richiede procedure di notifica delle violazioni registrate. La legge UE sull’intelligenza artificiale richiede valutazioni d’impatto simili alla DPIA per i sistemi di intelligenza artificiale ad alto rischio. DORA richiede valutazioni del rischio ICT che si sovrappongono alla mappatura del trattamento dei dati DPIA. La Direttiva ePrivacy richiede valutazioni della privacy per il trattamento delle comunicazioni elettroniche. Le leggi sulla privacy dei paesi terzi, tra cui il GDPR del Regno Unito, la LGPD brasiliana, la CPRA della California e la PIPL cinese, prevedono tutte DPIA o requisiti equivalenti. La norma ISO 27701 (gestione delle informazioni sulla privacy) richiede processi registrati di valutazione dell'impatto sulla privacy.