Introduzione
La valutazione privacy deve accompagnare il trattamento prima dell’avvio e ogni volta che intervengono cambiamenti rilevanti.
La LIA verifica se il ricorso al legittimo interesse è fondato, necessario e bilanciato rispetto ai diritti degli interessati.
La DPIA analizza invece i trattamenti che possono presentare un rischio elevato, valutandone necessità, proporzionalità, rischi e misure di mitigazione.
Entrambi gli strumenti devono supportare decisioni effettive e documentate, non limitarsi a un adempimento formale.
Ambito di applicazione
La valutazione dei rischi, la LIA e la DPIA si applicano ai trattamenti che richiedono una verifica preventiva della liceità, della necessità, della proporzionalità o dell’impatto sui diritti e sulle libertà degli interessati.
- trattamenti fondati sul legittimo interesse;
- nuovi prodotti, servizi, processi o tecnologie;
- utilizzo di dati particolari o relativi a condanne e reati;
- monitoraggio sistematico degli interessati;
- profilazione e decisioni automatizzate;
- trattamenti su larga scala;
- integrazione di più fonti informative;
- utilizzo di tecnologie innovative;
- modifiche rilevanti a finalità, dati, sistemi o modalità di trattamento.
La valutazione deve essere avviata prima dell’attivazione del trattamento e riesaminata quando cambiano le condizioni che ne avevano giustificato l’esito.
Contesto normativo di riferimento
Il GDPR richiede che il trattamento fondato sul legittimo interesse sia necessario al perseguimento di un interesse lecito e che tale interesse non sia prevalso dai diritti e dalle libertà degli interessati. La LIA documenta questa verifica attraverso l’analisi dell’interesse perseguito, della necessità del trattamento e del bilanciamento con l’impatto sulle persone.
La DPIA è invece richiesta quando un trattamento, considerate natura, ambito, contesto e finalità, può presentare un rischio elevato per i diritti e le libertà delle persone. Deve essere svolta prima dell’avvio del trattamento e riesaminata quando cambiano i rischi o le modalità operative.
Le valutazioni devono precedere la decisione e dimostrare perché il trattamento è lecito, necessario, proporzionato e adeguatamente protetto.
LIA e DPIA hanno quindi finalità differenti ma complementari: la prima sostiene la scelta della base giuridica del legittimo interesse; la seconda valuta e governa i rischi elevati del trattamento.
Esigenze e problemi a cui risponde
La valutazione dei rischi, la LIA e la DPIA rispondono alla necessità di assumere decisioni documentate prima di avviare trattamenti che possono incidere in modo significativo sui diritti degli interessati.
- ricorso al legittimo interesse senza una valutazione strutturata;
- trattamenti avviati prima di averne analizzato i rischi;
- valutazioni generiche o non collegate al processo reale;
- mancata verifica di necessità e proporzionalità;
- assenza di misure di mitigazione adeguate;
- coinvolgimento tardivo del DPO e delle funzioni competenti;
- mancato riesame quando cambiano finalità, tecnologie o modalità operative;
- difficoltà nel dimostrare perché il trattamento è stato ritenuto ammissibile.
LIA e DPIA consentono di rendere espliciti i presupposti della decisione, i rischi individuati, le misure adottate e le responsabilità coinvolte.
Approccio suggerito
La valutazione deve essere integrata nel processo di approvazione di nuovi trattamenti, prodotti, servizi o modifiche rilevanti.
- descrivere il trattamento e le finalità perseguite;
- individuare la base giuridica e verificare se è necessaria una LIA;
- valutare necessità e proporzionalità;
- identificare i rischi per i diritti e le libertà degli interessati;
- verificare se ricorrono le condizioni per una DPIA;
- coinvolgere tempestivamente DPO, ICT, Compliance e funzioni operative;
- definire le misure di mitigazione e i rischi residui;
- documentare decisioni, pareri e responsabilità;
- riesaminare la valutazione quando cambiano finalità, tecnologie, dati o modalità operative.
La LIA deve concludersi con una decisione motivata sulla prevalenza o meno del legittimo interesse. La DPIA deve invece dimostrare che i rischi elevati sono stati identificati, ridotti e accettati in modo consapevole.
Output attesi
La valutazione dei rischi, la LIA e la DPIA devono produrre decisioni motivate, tracciabili e coerenti con il trattamento effettivamente svolto.
- scheda di valutazione preliminare del trattamento;
- individuazione della base giuridica applicabile;
- LIA documentata, quando il trattamento si fonda sul legittimo interesse;
- verifica della necessità di svolgere una DPIA;
- DPIA completa per i trattamenti a rischio elevato;
- identificazione dei rischi e delle misure di mitigazione;
- valutazione del rischio residuo;
- pareri e contributi delle funzioni coinvolte, compreso il DPO;
- decisione finale sull’avvio, modifica o mancata attivazione del trattamento;
- piano di monitoraggio e riesame periodico delle valutazioni.