La domanda viene prima del modello
La valutazione d’impatto sulla protezione dei dati, o DPIA, è richiesta prima del trattamento quando, per natura, oggetto, contesto e finalità, il trattamento può presentare un rischio elevato per diritti e libertà. L’articolo 35 GDPR indica alcuni casi e consente all’autorità di pubblicare elenchi di trattamenti soggetti alla valutazione. Il Garante ha adottato un elenco nazionale; va letto insieme ai criteri europei e alle caratteristiche concrete del progetto.
Trattare dati sanitari non rende automaticamente necessaria una DPIA in ogni circostanza, né permette di escluderla per un flusso piccolo o già esistente. La domanda utile è quale rischio possa derivare dal trattamento specifico, considerando scala, sensibilità, persone coinvolte, tecnologia, collegamenti e possibili conseguenze.
Fare uno screening documentato
Prima di avviare una nuova piattaforma, un programma di monitoraggio o un uso secondario dei dati, il titolare può effettuare uno screening motivato. Descriva finalità, categorie di dati e interessati, operazioni, destinatari, conservazione e sistemi. Poi confronti il caso con l’elenco del Garante e con i criteri di rischio, inclusi valutazione o scoring, decisioni automatizzate, monitoraggio sistematico, dati sensibili, larga scala e combinazione di archivi.
Lo screening deve spiegare perché la DPIA è necessaria oppure perché, sulla base delle informazioni disponibili, il titolare ritiene che non ricorrano i presupposti. Se progetto, scala o finalità cambiano, la conclusione va riesaminata. Una casella “DPIA sì/no” priva di motivazione offre poca prova di accountability.
Descrivere rischi e misure reali
Quando necessaria, la DPIA descrive il trattamento e le sue finalità, valuta necessità e proporzionalità, identifica rischi per gli interessati e indica misure per affrontarli. In un percorso di telemonitoraggio, per esempio, la valutazione può considerare accesso improprio, errore di associazione tra paziente e dispositivo, indisponibilità dei dati, uso oltre lo scopo dichiarato e dipendenza dal fornitore. Le misure vanno collegate ai rischi: non basta elencare cifratura e formazione senza precisare chi le applica e come si verifica che funzionino.
Coinvolgere referenti clinici, IT, sicurezza, acquisti e utenti del processo aiuta a descrivere il contesto reale. Il DPO, se designato, deve essere consultato e il suo parere considerato; il titolare conserva responsabilità e decisione finale.
Gestire ciò che resta
La valutazione non è un allegato da archiviare a progetto concluso. Le misure approvate devono entrare nel piano di lavoro, con responsabilità e verifiche. Se permane un rischio elevato che il titolare non riesce a mitigare, il GDPR prevede la consultazione preventiva dell’autorità prima del trattamento. La DPIA va aggiornata quando il rischio cambia. Questo rende la valutazione uno strumento di progettazione e governo, non una semplice formalità documentale.