Che cos'è una DPIA (valutazione d'impatto della protezione dei dati)?

Il GDPR specifica,  nell'articolo 35, che un DPIA deve contenere almeno quattro elementi:

1. Una chiara descrizione delle attività pianificate di trattamento dei dati e degli scopi del trattamento.
    

2. Una valutazione della necessità e della proporzionalità (cioè, l'ambito del trattamento dei dati è proporzionato agli obiettivi dell'organizzazione?).
    

3. Un'analisi dei rischi per la protezione dei dati alle persone coinvolte (chiamate "interessati" nel regolamento).
    

4. Misure documentate per ridurre questi rischi.

Sebbene il GDPR sia relativamente nuovo, le aziende conducono valutazioni d'impatto e valutazioni del rischio di vario tipo da decenni, spesso per soddisfare i requisiti legali.

La legge degli Stati Uniti richiede valutazioni dell'impatto ambientale sin dagli anni '70; le leggi sulla privacy degli anni '90 hanno esteso l'idea alla nozione di valutazioni d'impatto sulla privacy (PIA). Le leggi sulla protezione dei dati estendono ora il concetto che le aziende debbano prevedere e mitigare i possibili danni anche agli ambiti dei dati e della privacy dei dati.

L'UE prende sul serio il GDPR e il relativo requisito DPIA, infliggendo multe alle organizzazioni che non implementano le DPIA o che manifestano comunque inadempienze.

Nel 2019, ad esempio, una scuola superiore nel nord della Svezia ha subito una multa, la prima per la Svezia, quando ha implementato un progetto pilota per condurre un appello nominale utilizzando la tecnologia di riconoscimento facciale biometrico. Lo ha fatto senza condurre una DPIA. La scuola fu quindi multata per 19.000 euro, anche se gli osservatori notarono che la multa massima avrebbe potuto ammontare a quasi 1 milione di euro.¹ (Le sanzioni previste dal GDPR raggiungono fino a 20 milioni di euro o il 4% del fatturato globale annuale di un'azienda, a seconda di quale sia il valore più alto.)

Un sito web tiene traccia delle multe del GDPR. Ad aprile 2026, erano state contate oltre 3.000 multe. Molte di queste citano specificamente l'articolo 35 del GDPR (che riguarda le DPIA) come fattore determinante della multa. In un esempio di dicembre 2025, un'azienda francese è stata multata per 3,5 milioni di euro, citando una violazione ai sensi dell'articolo 35. La sanzione più elevata nella storia del GDPR è stata inflitta a Meta dalla Commissione irlandese per la protezione dei dati nel 2023, per un importo di 1,2 miliardi di euro, sebbene quel caso si concentrasse sui trasferimenti di dati e non sulle valutazioni d'impatto. 

GDPR.eu offre indicazioni su come condurre correttamente una DPIA, completa di un modello. Tuttavia, bisogna tenere presente che condurre una DPIA è spesso solo l'inizio di un processo approfondito di gestione del rischio. A volte si verificano multe quando una DPIA identifica potenziali rischi e vulnerabilità, ma la mancanza di reali mitigazioni la rende un semplice esercizio. 

Nei casi peggiori, una DPIA può fungere da traccia documentale che dimostra che un’azienda era consapevole dei rischi e non li ha affrontati adeguatamente. France Travail, l'agenzia nazionale per l'impiego, non ha mai implementato le misure di sicurezza indicate nelle DPIA, causando una grave violazione dei dati. Nel gennaio 2026, le autorità di regolamentazione hanno multato France Travail per 5 milioni di euro.²

Secondo il GDPR, tre situazioni innescano sempre una DPIA. 

Prima: quando il processo decisionale automatizzato ha un impatto significativo sulle persone. Un esempio potrebbe essere l'algoritmo di una banca che rifiuta automaticamente un'applicazione basandosi sulla profilazione, dove la base legale della decisione viene sottoposta a un esame e scrutinato.  

Seconda: elaborazione su larga scala di dati sensibili, che include dati biometrici, opinioni politiche e altri tipi di dati che rivelano dettagli intimi della vita di una persona. 

Terza: monitoraggio sistematico delle aree pubbliche su larga scala (come grandi reti di telecamere nelle stazioni ferroviarie o nei centri commerciali). 

Oltre a questi trigger automatici, le linee guida dell'UE stabiliscono nove criteri per identificare le attività di trattamento dei dati ad alto rischio che potrebbero richiedere DPIA. Questi criteri includono la valutazione o la valutazione degli individui, l'uso innovativo di nuove tecnologia, l'elaborazione dei dati sulle persone vulnerabili (come i bambini) e la combinazione di set di dati provenienti da diverse fonti. 

Molte aziende seguono una linea guida di base: se le operazioni di elaborazione soddisfano due o più di questi criteri, sarebbe prudente effettuare un DPIA. 

Il processo DPIA inizia determinando se sia giustificata una valutazione completa, in genere durante le prime fasi della pianificazione del progetto. 

Quando è richiesta una valutazione, le organizzazioni di solito mappano in dettaglio le attività di trattamento dei dati rilevanti. Queste mappe catturano come vengono raccolti i dati personali, da chi, gli scopi del trattamento e per quanto tempo vengono conservati i dati. 

Segue un'analisi del rischio, con ogni potenziale danno derivante dai dati (perdita finanziaria, discriminazione, danni reputazionali o anche pericolo fisico) valutato per probabilità e gravità. 

Per ogni rischio identificato, l'organizzazione documenta una mitigazione. Le mitigazioni possono includere salvaguardie tecniche come la crittografia o i controlli di accesso e passaggi organizzativi come la formazione del personale o le scelte generali di progettazione del progetto. Il GDPR impone alle aziende di adottare il principio della protezione dei dati fin dalla progettazione. In altre parole: la protezione dei dati dovrebbe essere integrata in tutto ciò che un'azienda fa, piuttosto che essere aggiunta come un pensiero secondario.   

Dopo la mitigazione, rimane quello che le autorità di regolamentazione chiamano "rischio residuo", il rischio che persiste anche dopo misure ragionevoli. Se il rischio residuo rimane elevato, l'organizzazione deve informare la propria autorità nazionale di supervisione. 

Ai sensi del GDPR, alcune organizzazioni devono nominare un responsabile della protezione dei dati (DPO), un funzionario aziendale indipendente responsabile della conformità al GDPR. Laddove esistono, i DPO spesso guidano il processo DPIA, o almeno vengono consultati durante tutto il processo. 

Le parti interessate dal trattamento generalmente intervengono laddove possibile. Alcuni regolatori dispongono di strumenti che aiutano a semplificare il processo DPIA. Nel caso dell'Information Commissioner's Office (ICO) del Regno Unito, ad esempio, esiste un modello DPIA gratuito e scaricabile organizzato in sette fasi. (Anche se il Regno Unito non è più uno stato membro dell'UE, ha una legislazione molto simile al GDPR dell'UE, chiamata UK GDPR.) L'equivalente francese (CNIL, che sta per "Commission nationale de l'informatique et des libertés") ha rilasciato software open source. L'autorità spagnola ha pubblicato sul suo sito modelli distinti per enti pubblici e aziende private, oltre a una guida estesa alla gestione del rischio. 

In generale, tali strumenti e guide sottolineano che un processo DPIA efficace inizia presto e affronta i rischi per la privacy e la privacy delle persone fin dall'inizio.