DPIA: quando la valutazione d’impatto sulla protezione dei dati è obbligatoria e cosa rischi se la salti

Un’azienda sanitaria pubblica aveva installato un sistema GPS sulle proprie auto di servizio. Il dispositivo registrava la posizione di ogni veicolo ogni 60 secondi, consentendo agli addetti autorizzati di seguirne gli spostamenti in tempo reale su una mappa. L’intento dichiarato era controllare le vetture, non i dipendenti; per questo motivo, la valutazione d’impatto sulla protezione dei dati non era mai stata svolta.

A seguito di una telefonata anonima che segnalava un’auto parcheggiata in un luogo non attinente al servizio, l’azienda ha incrociato i dati del GPS con il registro cartaceo di bordo. Questo ha permesso di identificare con precisione l’autista, che al termine del procedimento disciplinare è stato sospeso.

Il lavoratore ha presentato reclamo al Garante, contestando sia la raccolta dei dati sia la carenza di informazioni sull’installazione del sistema. L’istruttoria dell’Autorità ha ribaltato la premessa iniziale dell’azienda: il sistema trattava a tutti gli effetti dati personali. L’associazione tra veicolo e conducente non rappresentava un rischio teorico da valutare, ma una realtà concreta già verificatasi. Di conseguenza, l’applicazione del GDPR  e del relativo obbligo di valutazione d’impatto, diventa un passaggio inevitabile.

Questo principio si applica integralmente anche al settore privato. Una società di trasporti, un’impresa edile o un’agenzia con tecnici in trasferta andrebbero incontro alle medesime sanzioni qualora adottassero tecnologie identiche con dinamiche simili.

Un datore di lavoro ha ragioni legittime per localizzare un mezzo aziendale, dall’organizzazione degli interventi alla sicurezza del personale fuori sede. L’elemento critico che ha trasformato un controllo legittimo in una violazione è stata la configurazione tecnica: una rilevazione al minuto, unita alla visualizzazione in tempo reale, consentiva di monitorare i movimenti del lavoratore in modo sostanzialmente ininterrotto per tutto il turno.

Il caso è istruttivo per chiunque gestisca flotte aziendali.
L’azienda sanitaria aveva sottoscritto un accordo con le rappresentanze sindacali (verbale del 3 luglio 2018) che autorizzava l’uso del GPS. Il Garante ha tuttavia stabilito che tale accordo “costituisce una condizione necessaria, ma non sempre sufficiente, per assicurare la complessiva liceità del trattamento”.
L’intesa sindacale copre infatti il profilo giuslavoristico, ma lascia aperto quello della privacy: il datore di lavoro deve comunque dimostrare che la frequenza di rilevazione, i dati raccolti e gli accessi siano rigorosamente proporzionati allo scopo.

Nel corso del procedimento, l’azienda ha autonomamente provveduto a portare l’intervallo di rilevazione da 60 secondi a 15 minuti, a disattivare la visualizzazione in tempo reale e a redigere la DPIA inizialmente omessa. Una collaborazione attiva e tempestiva che il Garante ha valutato come fondamentale circostanza attenuante nella quantificazione della sanzione, determinata in 6.000 euro, e sufficiente a esaurire gli effetti della condotta, evitando l’adozione di ulteriori misure inibitorie ex articolo 58.

Interventi di correzione che, se eseguiti prima di accendere il sistema, avrebbero richiesto soltanto una riunione di progettazione. Affrontati durante un’istruttoria, hanno presentato un conto radicalmente diverso.

La DPIA serve esattamente a questo: capire se un trattamento può creare un rischio elevato per le persone e stabilire quali misure servano per contenerlo, quando il progetto si può ancora modificare.
Molte organizzazioni si pongono la domanda troppo tardi. Acquistano un software, attivano una nuova funzione del gestionale, installano telecamere o introducono la geolocalizzazione della flotta, e solo dopo si chiedono se quel progetto richiedesse valutazioni ulteriori. A quel punto fornitore, funzioni da attivare, dati da raccogliere e modalità di utilizzo sono già stati definiti in modo rigido.

In questo articolo vediamo quando la DPIA serve, chi deve svolgerla, come si fa e cosa può accadere quando il problema si affronta fuori tempo massimo.

Che cos’è una DPIA

La DPIA (Data Protection Impact Assessment, ovvero valutazione d’impatto sulla protezione dei dati) è l’analisi che un’azienda deve condurre prima di avviare un trattamento di dati personali da cui derivi un rischio elevato per i diritti e le libertà delle persone coinvolte
Serve a stabilire se il trattamento è strettamente necessario per lo scopo dichiarato, se è proporzionato e quali ripercussioni concrete può avere su clienti, dipendenti o utenti.

Tornando al caso di apertura: un’impresa ha la legittima esigenza di localizzare i propri mezzi per organizzare gli interventi o tutelare il patrimonio. Tuttavia, registrare gli spostamenti di un conducente minuto per minuto e renderli visibili in tempo reale risponde a una logica di controllo ininterrotto, che il datore di lavoro deve poter giustificare.

La DPIA obbliga a formalizzare queste risposte all’interno di un documento ufficiale ben prima di scegliere la configurazione tecnica, definendo nero su bianco parametri precisi: con quale frequenza raccogliere i dati, chi possiede i permessi d’accesso, quali sono i tempi di conservazione dei log e se una soluzione meno invasiva garantirebbe il medesimo risultato organizzativo. L’articolo 35 del GDPR impone infatti di svolgere la valutazione prima del trattamento, quando l’azienda ha ancora il margine operativo per cambiare fornitore, limitare le funzionalità acquistate o rivedere le modalità di utilizzo del servizio, trasformando un obbligo formale in un effettivo strumento di progettazione.

Il documento finale deve fotografare il trattamento reale: quali dati fluiscono, chi li gestisce, per quale scopo, attraverso quali strumenti, per quanto tempo restano conservati e chi li visualizza fuori dall’azienda. A partire da questa mappatura si misurano gli impatti sulle persone e si definiscono le misure per mitigarli. Una descrizione generica del software, o una checklist compilata con risposte standardizzate, in sede ispettiva viene smontata alla seconda pagina.

Il rischio da analizzare va oltre gli attacchi informatici e la perdita di dati.
Può nascere da un monitoraggio troppo invasivo sui dipendenti, oppure da una decisione automatizzata che condiziona la vita di una persona.
Rientrano nel quadro anche la diffusione indebita di informazioni sanitarie e l’uso di dati per scopi trasversali non dichiarati.
L’articolo 35, paragrafo 7, lettera c) impone una valutazione dei rischi per i diritti e le libertà degli interessati, non un semplice inventario delle vulnerabilità di rete.

Se il rischio scende a un livello accettabile grazie alle misure individuate, il titolare procede applicandole. Un rischio che resta elevato nonostante le tutele previste obbliga invece a rivolgersi al Garante con una consultazione preventiva (articolo 36 del GDPR), prima di avviare il trattamento.

Quando la DPIA è obbligatoria

La DPIA è obbligatoria quando un trattamento può presentare un rischio elevato per i diritti e le libertà delle persone. L’elemento discriminante è l’effetto reale che quel trattamento può avere su clienti, lavoratori, pazienti o utenti, più della quantità di dati gestiti o del numero di dipendenti dell’azienda.
l GDPR indica tre situazioni in cui la valutazione è richiesta in modo esplicito. Le linee guida europee e l’elenco pubblicato dal Garante aiutano poi a riconoscere gli altri casi che, pur non rientrando alla lettera in quelle tre ipotesi, meritano la stessa attenzione.

I tre casi indicati dal GDPR

L’articolo 35 del GDPR individua tre tipologie di trattamento per cui la DPIA è richiesta in particolare.

Il primo caso è la valutazione sistematica di aspetti personali basata su un trattamento automatizzato, compresa la profilazione, quando produce effetti giuridici o incide in modo analogo e significativo sulla persona. Rientrano in questa casistica i sistemi che attribuiscono un punteggio a un candidato, valutano l’affidabilità di un cliente o stabiliscono automaticamente se concedere un servizio. Il software deve pesare su una decisione che riguarda quella persona, e non limitarsi a elaborarne i dati.

La seconda ipotesi riguarda il trattamento su larga scala di dati particolari: salute, vita sessuale, orientamento sessuale, convinzioni religiose o politiche, origine etnica, appartenenza sindacale, insieme ai dati genetici, biometrici e giudiziari. Una clinica che gestisce le cartelle dei propri pazienti, una piattaforma che raccoglie dati sanitari o un’azienda che introduce il riconoscimento biometrico operano esattamente in questo perimetro: per loro, redigere la DPIA non è un’ipotesi da valutare, ma un passaggio pressoché obbligato.

La terza ipotesi riguarda la sorveglianza sistematica su larga scala di zone accessibili al pubblico. La videosorveglianza rientra in questa categoria, ma non ogni telecamera fa scattare l’obbligo: una telecamera puntata sulla porta d’ingresso di un negozio per motivi di sicurezza basilari non richiede una DPIA. Il livello di rischio e l’obbligo di valutazione si attivano quando l’impianto supera la soglia della normalità: aree estese coperte, riprese continuative h24, un flusso elevato di persone monitorate o, peggio, l’integrazione di funzioni evolute come il riconoscimento facciale o l’analisi automatica dei comportamenti.

I nove criteri e la regola pratica

Spesso si tende a pensare che, acquistando un software blasonato e affermato sul mercato, la conformità sia già inclusa nel pacchetto e non serva fare altro. In realtà, la DPIA non dipende dalla fama o dal costo della piattaforma: l’obbligo non si azzera perché il programma è famoso, ma scatta unicamente in base a come quel software viene configurato e a quanto il trattamento incide concretamente sulla vita delle persone.

Per capire con esattezza quando si attiva questo obbligo e il trattamento supera la soglia del rischio elevato, le linee guida WP248 rev.01 individuano nove criteri, che il Garante richiama nel provvedimento sull’elenco dei trattamenti soggetti a DPIA:

• – Valutazione o assegnazione di punteggi, compresa la profilazione
• – Decisioni automatizzate con effetti giuridici o conseguenze significative
• –  Monitoraggio sistematico delle persone
• – Uso di dati particolari o altamente personali
• – Trattamento su larga scala
• – Combinazione di dati provenienti da fonti o sistemi diversi
• – Dati che riguardano soggetti vulnerabili, come minori, lavoratori, pazienti o persone in difficoltà economica
• – Uso di tecnologie o soluzioni organizzative innovative
• – Trattamenti che rendono più difficile per una persona esercitare un diritto, accedere a un servizio o concludere un contratto.

Un trattamento che soddisfa due o più di questi criteri attiva automaticamente la soglia critica: questa è la vera regola pratica da seguire. In presenza di una doppia spunta, il rischio è considerato elevato e la DPIA diventa obbligatoria. Resta comunque una presunzione da verificare caso per caso: in alcune situazioni basta un solo criterio per far scattare l’obbligo, mentre in altre la presenza di due elementi genera un rischio marginale, che l’azienda dovrà semplicemente cristallizzare e documentare per iscritto.

Il riconoscimento facciale usato per le presenze in azienda ne è l’esempio più lampante: quando un unico progetto accumula l’uso di dati biometrici, una tecnologia particolarmente invasiva e il monitoraggio di dipendenti subordinati, la necessità di una DPIA non è più un dubbio interpretativo, ma un obbligo inequivocabile.

L’elenco italiano del Garante

Oltre ai criteri generali del GDPR, in Italia occorre verificare l’elenco specifico pubblicato con il provvedimento n. 467 del 2018.
Non si tratta di una lista esaustiva, ma perimetra con chiarezza i trattamenti per i quali l’Autorità italiana pretende la valutazione d’impatto.
I casi più frequenti riguardano tre ambiti: la profilazione e la valutazione automatica delle persone, l’uso di tecnologie innovative o intelligenza artificiale, e soprattutto il contesto lavorativo, con particolare riferimento a qualsiasi sistema tecnologico che permetta il controllo a distanza dei dipendenti (dalla geolocalizzazione dei mezzi alla rilevazione biometrica). Quando un trattamento aziendale rientra in pieno in questo elenco, la presunzione di rischio si fa altissima e la DPIA non è più un’opzione interpretativa, ma un atto dovuto.

Test rapido: cinque domande per capire se ti serve una DPIA

Prima di introdurre un nuovo software, un impianto o una tecnologia che tratta dati personali, due o più risposte affermative a queste domande sono il segnale inequivocabile che occorre una verifica documentata:

1. Il progetto assegna punteggi alle persone o prende decisioni automatizzate che le riguardano?
2. Coinvolge dati sanitari, biometrici, genetici, giudiziari o altre informazioni particolarmente delicate?
3. Permette di monitorare lavoratori, clienti, utenti o persone che si trovano in un luogo accessibile al pubblico?
4. Unisce dati provenienti da più fonti, servizi o banche dati per costruire un quadro più completo delle persone?
5. Introduce una tecnologia nuova per l’organizzazione, oppure una funzione che può limitare l’accesso a un servizio o influenzare una decisione presa su un individuo?

Il momento giusto per porsi queste domande coincide con la fase precedente alla scelta del fornitore.
Due segnali su cinque indicano il punto esatto in cui vale la pena fermarsi e mettere per iscritto una valutazione preliminare.
Muoversi prima di avviare il trattamento significa poter cambiare configurazioni e fornitori quando i margini di manovra sono ancora ampi, senza dover buttare all’aria un progetto già partito.

Quando la DPIA non serve

La DPIA non è richiesta per ogni trattamento di dati personali. L’elemento decisivo rimane il livello di rischio per le persone coinvolte: un progetto strategico per l’azienda può risultare del tutto ordinario dal punto di vista della privacy, e in quel caso si procede senza redigere una valutazione d’impatto.

Un caso tipico è la gestione dei contatti commerciali. L’azienda raccoglie i dati di chi chiede informazioni, risponde alla richiesta e conserva il contatto per il tempo necessario. Finché quei dati restano separati da altre fonti, senza profilazione, decisioni automatizzate o tecnologie invasive, la DPIA di norma non serve. Lo stesso vale per molte attività amministrative comuni: fatture, pagamenti, presenze rilevate con strumenti non biometrici, rapporti con i fornitori.

Restano fermi tutti gli altri obblighi del GDPR, dalla base giuridica all’informativa, dalla minimizzazione dei dati ai tempi di conservazione fino alle misure di sicurezza. L’assenza della valutazione d’impatto non esonera infatti l’azienda dal rispetto generale della normativa: il trattamento deve comunque essere pienamente conforme alla legge.

A livello normativo, l’unico vero perimetro in cui la DPIA non si applica per scelta a monte è quello disciplinato dall’articolo 35, paragrafo 10 del GDPR: riguarda i trattamenti necessari per adempiere a un obbligo di legge o per svolgere un compito di interesse pubblico, quando la norma che li disciplina ha già valutato l’impatto sulla protezione dei dati in sede di adozione. È un’ipotesi circoscritta, che riguarda i trattamenti definiti dal legislatore, non le scelte organizzative di un’impresa.

La scelta di non svolgere una DPIA sulle attività ordinarie va in ogni caso documentata. Non è richiesta una documentazione complessa, purché si dimostri che l’azienda ha esaminato il trattamento, ha applicato criteri oggettivi ed è arrivata a una conclusione motivata sull’assenza di rischi elevati per gli interessati.

Questo passaggio si chiama pre-assessment. È la valutazione iniziale, più snella della DPIA, che distingue nettamente le attività ordinarie dai progetti che esigono un’analisi approfondita. Un’analisi che va necessariamente rivista quando il progetto muta: una conclusione corretta oggi potrebbe perdere ogni validità dopo l’introduzione di una nuova funzionalità o il subentro di un fornitore diverso.

Chi fa cosa: titolare, DPO e fornitori

Prima di tutto sgomberiamo il campo dagli equivoci sui ruoli. Nel linguaggio del GDPR, il titolare del trattamento può essere una persona giuridica (l’azienda nella figura del suo legale rappresentante) ma anche una persona fisica (come nel caso del professionista, dell’artigiano o del titolare di una ditta individuale): è chi decide autonomamente finalità e mezzi del trattamento e si assume la piena responsabilità legale di tutto ciò che accade.

La redazione della DPIA spetta unicamente a lui, e questo genera equivoci frequenti perché molte organizzazioni danno per scontato che l’adempimento sia un compito esclusivo del DPO (il Responsabile della protezione dei dati). In realtà, il DPO (che si tratti di un professionista dedicato o di un DPO interno o esterno) deve essere consultato, esprime pareri, aiuta a leggere i rischi, verifica la coerenza e sorveglia lo svolgimento della valutazione, ma non ha alcun potere decisionale. La responsabilità resta saldamente in capo al titolare, che non può in alcun modo trasferirla. Un’azienda che delega l’intero processo al DPO, convinta di trasferire in blocco anche la responsabilità, commette un grave errore di inquadramento normativo.

Questo vale a maggior ragione quando il progetto tocca direttamente i dipendenti, ad esempio con la geolocalizzazione dei mezzi o sistemi di controllo aziendali. In questi casi, la tentazione tipica è delegare al fornitore della tecnologia o affidarsi alla sua “certificazione di conformità” per sentirsi al sicuro. Ma è qui che l’imprenditore scopre lo scarto: la dichiarazione di conformità del produttore non funge mai da scudo per l’uso concreto che l’azienda farà del software. La certificazione attesta solo come è costruito il prodotto, mentre la liceità dell’impiego e la responsabilità della DPIA restano interamente in capo all’azienda.

Per quanto riguarda i fornitori di servizi e tecnologia, il loro ruolo non dipende dall’etichetta formale scritta sul contratto, ma da quello che fanno concretamente ogni giorno. Se il fornitore gestisce i dati attenendosi unicamente alle istruzioni scritte dell’azienda, opera correttamente come responsabile del trattamento. Ma se nei fatti è lui a decidere come e perché usare quei dati, o se li sfrutta per scopi propri, il contratto standard non serve a nulla: agli occhi della legge il suo ruolo cambia automaticamente, trascinandolo in una corresponsabilità diretta e pesantissima in caso di sanzioni.

Su questo i provvedimenti dell’Autorità sono espliciti: “anche quando utilizza prodotti o servizi realizzati da terzi, il titolare deve, infatti, verificare, anche avvalendosi del supporto del Responsabile della protezione dei dati, ove designato, la conformità ai principi applicabili”. E deve impartire “le necessarie istruzioni documentate al fornitore del servizio”.

Da qui discende la conseguenza pratica: chi fornisce quella tecnologia ha un compito simmetrico e inderogabile: mettere il cliente in condizione di sapere esattamente quali dati raccoglie il software, con quale frequenza, chi vi accede, dove sono ospitati, per quanto tempo restano e quali subfornitori intervengono. Un fornitore che si limita a consegnare la documentazione standard o il manuale d’uso lascia l’azienda esposta a enormi rischi e, qualora il suo raggio d’azione effettivo esorbiti dalle istruzioni ricevute, finisce per condividere la medesima esposizione sanzionatoria.

Come si fa una DPIA, passaggio per passaggio

Il GDPR ti dice quali rischi devi valutare, ma non ti dà un modulo prestampato da compilare. Questo significa che ogni azienda deve costruire la sua analisi su misura. Il vero errore da evitare è trattare la DPIA come un semplice documento burocratico da archiviare: se nel compilarla ci si dimentica dei pezzi o si descrive la procedura teorica tralasciando come i dipendenti usano i software ogni giorno, all’atto pratico il documento non protegge da nulla.

Il primo passo consiste nel fotografare la realtà operativa. Si parte dalla compilazione del registro dei trattamenti per mappare i flussi di dati, i software realmente utilizzati e le abitudini dei reparti, evitando che la valutazione si basi su procedure teoriche disallineate rispetto alla pratica quotidiana.

Si affronta poi il nodo cruciale della proporzionalità: lo stesso obiettivo di business si può raggiungere raccogliendo meno informazioni, riducendo la frequenza, limitando gli accessi o accorciando i tempi di conservazione? Nel caso della geolocalizzazione, ad esempio, trasmettere la posizione ogni quindici minuti garantiva il risultato organizzativo cercato; rimpicciolire l’intervallo a sessanta secondi trasformava lo strumento in un controllo a distanza illecito sui lavoratori.

Superato questo vaglio, si passa all’analisi dei rischi, allargando il perimetro oltre la semplice sicurezza informatica. Certo, server protetti e accessi non autorizzati fanno parte del quadro, ma bisogna misurare l’impatto reale sulle persone: un monitoraggio esasperato dei dipendenti, distorsioni o discriminazioni generate da un algoritmo, l’esclusione ingiustificata da un servizio o il riutilizzo di informazioni non preventivate. Ciascuno scenario va soppesato incrociando la probabilità che accada e la gravità del danno per chi lo subisce.

Individuati i rischi, si definiscono le contromisure, fondendo tecnica e organizzazione. Ma attenzione: un rischio non si riduce sulla carta. Ogni misura deve agganciarsi a uno specifico pericolo per depotenziarlo, traducendosi in fatti concreti prima che il processo diventi operativo: attivare cifratura e pseudonimizzazione dove serve, impostare profili di accesso differenziati per mansione, automatizzare i tempi di conservazione a livello software, dare istruzioni vincolanti ai fornitori e formare le persone che usano lo strumento nella quotidianità.

Solo quando le contromisure sono state effettivamente calate nella realtà operativa, la palla passa agli organi di governance: il DPO esprime il proprio parere formale, l’amministratore valuta il rischio residuo e assume la responsabilità della decisione finale. Se il livello di rischio è sceso entro i margini tollerabili, il progetto parte in via definitiva; se resta alto e irrisolvibile, scatta l’obbligo di consultazione preventiva con il Garante.

L’ultimo adempimento consiste nello stabilire quando la DPIA andrà riaperta. Invece di affidarsi a una scadenza fissa sul calendario, si definiscono nero su bianco gli eventi scatenanti, come un cambio di software, una modifica nei processi o l’ingresso di nuovi subfornitori, che impongono una revisione immediata della valutazione.

Cosa succede se la DPIA manca

Avviare un trattamento a elevato rischio senza aver fatto la DPIA espone l’azienda a conseguenze dirette e immediate. Il documento redatto in ritardo dopo un reclamo o un’ispezione non sana l’irregolarità. Di fronte a un’omissione preventiva, il Garante ha il potere di intervenire bloccando l’operatività: può imporre modifiche strutturali ai sistemi, ordinare la cancellazione dei dati raccolti, limitare o vietare del tutto il trattamento e applicare sanzioni amministrative rilevanti.

Il caso del riconoscimento facciale

Il 22 febbraio 2024 il Garante ha emesso cinque provvedimenti contro un sistema biometrico installato in un cantiere di trattamento rifiuti per rilevare le presenze dei dipendenti di più imprese. L’impianto è stato ritenuto illecito: i dati biometrici non possono essere usati per la normale timbratura senza una specifica norma di legge. Raccogliere il consenso dei lavoratori è servito a poco, data l’asimmetria del rapporto di lavoro e l’assenza di un’alternativa reale, visto che i fogli cartacei venivano attivati solo in caso di guasto tecnico.
L’Autorità ha sanzionato l’assenza della DPIA prima dell’avvio. Una delle società si era limitata a riprendere la carta di conformità del produttore, dimenticando che le specifiche tecniche di un dispositivo non sostituiscono la valutazione autonoma del titolare sull’uso concreto dello strumento.
Dalle verifiche sono emerse ulteriori violazioni a catena: informative inesistenti o lacunose, accessi incrociati tra aziende diverse e misure di sicurezza grossolane, come le credenziali di amministratore lasciate con i valori di fabbrica del manuale e un applicativo che permetteva di consultare i dati di tutti i lavoratori del cantiere.
Il conto finale dell’Autorità si è tradotto nell’ordine di cancellare i dati biometrici raccolti e in sanzioni diversificate in base alle responsabilità effettive: 70.000 euro all’impresa principale, 6.000 e 5.000 alle altre due aziende presenti, 20.000 alla società fornitrice e gestore tecnico, e 2.000 allo studio di consulenza del lavoro. Nessuno è stato colpito per il semplice ruolo di fornitore, ma per aver gestito trattamenti privi di istruzioni e contratti a norma, confermando quanto la distinzione dei ruoli diventi decisiva in sede ispettiva.

Sanzioni e consultazione preventiva

L’omessa valutazione d’impatto rientra nella fascia di gravità prevista dall’articolo 83, paragrafo 4, lettera a) del GDPR: multe fino a 10 milioni di euro o, per le imprese, fino al 2 per cento del fatturato mondiale totale annuo dell’esercizio precedente, se superiore.

L’importo effettivo non è mai casuale, ma viene calibrato su parametri precisi: la gravità e la durata della violazione, il numero di persone coinvolte, la natura e il livello del danno subito, il carattere doloso o colposo della condotta, le azioni intraprese per mitigare il pregiudizio e il grado di cooperazione dimostrato con l’Autorità. I due casi esaminati in precedenza danno la misura della forbice reale: 6.000 euro per l’azienda sanitaria che ha collaborato attivamente correggendo la configurazione in corso d’istruttoria, rispetto ai 70.000 euro inflitti al datore di lavoro per la raccolta illecita di dati biometrici. A questo si aggiunge un costo sommerso che nessun provvedimento quantifica a bilancio: il progetto da riconfigurare, i fornitori da sostituire, la cancellazione dei dati, le centinaia di ore di lavoro assorbite dall’istruttoria e il danno reputazionale legato alla pubblicazione del provvedimento sul sito del Garante.

La sanzione non è comunque l’unica conseguenza da mettere in conto. Se la DPIA evidenzia un rischio elevato che l’azienda non riesce a mitigare con le misure a disposizione, il trattamento non può partire in alcun modo: l’articolo 36 del GDPR impone la consultazione preventiva del Garante.

In questa fase si trasmettono all’Autorità la valutazione svolta, la descrizione del trattamento, le finalità, le contromisure e i contatti del DPO. Il Garante valuta il dossier, potendo indicare prescrizioni, imporre limiti stringenti o vietare l’attività. Dispone di otto settimane per rispondere, prorogabili di altre sei nei casi complessi, e i termini restano sospesi fino alla ricezione di tutte le integrazioni richieste.

Scoprire questa necessità normativa quando il software è già stato acquistato, configurato e promesso ai clienti trasforma un fisiologico passaggio di progettazione in un blocco operativo di mesi. Questa è la ragione fondamentale per cui l’intera valutazione deve essere anticipata alla fase di selezione tecnica e strategica, ben prima di firmare qualsiasi contratto.

Gli errori più frequenti nelle DPIA già fatte

Molte aziende possiedono già un documento formalmente intitolato come DPIA. I veri problemi emergono quando qualcuno lo legge con attenzione.

L’errore più comune si scopre confrontando la data della DPIA con quella di attivazione del sistema: se il documento arriva dopo l’accensione dei server, la valutazione perde la sua funzione vitale, perché nasce per orientare una scelta che a quel punto è già stata presa. Nel caso della flotta geolocalizzata, la DPIA è arrivata solo durante l’istruttoria, e questo grave ritardo temporale non ha evitato la sanzione.

Un’altra criticità ricorrente riguarda la valutazione che descrive il software invece del trattamento. Succede quando si parte dal template precompilato del fornitore: si leggono pagine accurate su architettura, cifratura, data center e certificazioni, ma non c’è una sola riga su chi, in azienda, userà lo strumento per decidere cosa, e con quali dati di dipendenti o clienti. Un ispettore se ne accorge alla seconda pagina, perché quel documento potrebbe appartenere a qualsiasi altra realtà che ha acquistato lo stesso prodotto.

Un’ulteriore anomalia frequente è l’elenco dei rischi privo di ponderazione. Si presenta una lista di scenari, ma mancano i parametri di probabilità e gravità. Senza l’incrocio di queste due dimensioni, il rischio residuo resta indeterminato, e con esso sfuma la decisione che il titolare dovrebbe prendere: il documento si limita a segnalare che esistono dei rischi, un dato di fatto di cui l’azienda era verosimilmente già consapevole.

Le misure di sicurezza scollegate dai rischi appartengono alla stessa famiglia di criticità. Compaiono cifratura, backup, antivirus e formazione del personale: tutte contromisure valide in astratto, ma nessuna collegata al pericolo specifico che dovrebbe neutralizzare. Se il rischio principale è il controllo eccessivo sui lavoratori, la cifratura del database non sfiora minimamente il problema: servono limiti rigidi di frequenza, profili di accesso ristretti e cancellazione automatica dei dati.

Sul fronte della governance, il parere del DPO viene spesso richiesto quando la decisione è già stata presa e i sistemi sono già accesi, riducendo il suo intervento a una firma raccolta solo per completare il fascicolo. Il GDPR esige invece di coinvolgerlo mentre la valutazione è in corso, quando un’opinione divergente può ancora modificare l’architettura del progetto. Un parere firmato tre mesi dopo l’avvio del trattamento non è una garanzia di conformità, ma la prova documentale di una violazione.

L’ultimo errore si nota per assenza: la mancanza di qualsiasi indicazione su quando la valutazione andrà rivista. Il documento giace dimenticato in un archivio mentre il sistema evolve, cambia fornitore o aggiunge moduli. A distanza di due anni finisce per descrivere un trattamento che non esiste più, senza che nessuno se ne accorga perché mancava un evento sentinella o una scadenza a ricordarlo.

Videosorveglianza: quando serve la DPIA

Le Linee guida 3/2019 del Comitato europeo per la protezione dei dati, adottate nel gennaio 2020, fissano il principio chiave: l’obbligo di DPIA non dipende dalla quantità di telecamere installate, ma dalla configurazione tecnica dell’impianto e dalle finalità di utilizzo.

Una telecamera puntata sull’ingresso di un magazzino, accesa per esclusive ragioni di sicurezza, che riprende poche persone e conserva le immagini per pochi giorni, in genere resta fuori dall’obbligo. Restano invece fermi tutti gli altri adempimenti, dall’informativa ai cartelli fino ai limiti sui tempi di conservazione: costituiscono obblighi normativi autonomi, che restano inderogabili a prescindere dall’esenzione dalla DPIA.

Il livello di rischio subisce un’impennata quando l’impianto copre aree estese o accessibili al pubblico, funziona in modo continuativo, riprende un numero elevato di persone, oppure integra algoritmi di video-analisi intelligente.
Analisi dei comportamenti, conteggio e tracciamento dei percorsi, riconoscimento facciale, lettura automatica delle targhe, stima di età o genere, allarmi su movimenti considerati anomali: ognuna di queste funzioni modifica la natura del trattamento, facendolo scivolare dalla semplice registrazione alla vera e propria osservazione. E l’osservazione sistematica, come abbiamo visto, è uno dei nove criteri chiave.

Analizziamo uno scenario operativo molto diffuso, slegato da singoli provvedimenti sanzionatori.
Una catena retail installa nei punti vendita telecamere dotate di analisi comportamentale. L’obiettivo dichiarato è contare gli ingressi e capire quali corsie funzionino meglio: un’esigenza di business pienamente legittima. Il sistema, tuttavia, riconosce i volti per evitare di contare due volte la stessa persona, registra i tracciati all’interno del negozio e riprende inevitabilmente anche i dipendenti che vi lavorano otto ore al giorno. Entrano in gioco contemporaneamente il monitoraggio sistematico, il trattamento di dati biometrici, la larga scala e i soggetti vulnerabili. Ben quattro criteri su nove, per un progetto nato come innocuo strumento di marketing. Le riprese sui lavoratori, peraltro, chiamano in causa l’intera e rigorosa disciplina sui controlli a distanza, con tutto ciò che ne consegue in termini di accordo sindacale o autorizzazione dell’Ispettorato territoriale del lavoro.

Nella stragrande maggioranza dei casi, redigere tempestivamente una DPIA su un progetto simile porta a modificarne i contorni operativi invece di fermarlo del tutto. Conteggio totalmente anonimo al posto del riconoscimento dei volti, mascheratura software delle postazioni fisse in cui lavora il personale, conservazione dei dati di transito ridotta a poche ore, profili di accesso ristretti a sole due figure autorizzate invece che a tutti i responsabili di negozio. Sono interventi di mitigazione che un fornitore applica agevolmente in fase di configurazione iniziale e che, se imposti a impianto già installato, comportano oneri finanziari e complessità architetturali esponenzialmente maggiori.

Geolocalizzazione dei mezzi aziendali: cosa controllare nella configurazione

Cinque parametri di configurazione determinano se un sistema di localizzazione rimane un legittimo strumento organizzativo o sconfina nel controllo illecito sui lavoratori.

La frequenza di rilevazione rappresenta il parametro più critico. Un intervallo di pochi secondi consente di ricostruire un percorso momento per momento, che equivale a seguire una persona per l’intero turno. Intervalli più larghi restituiscono all’azienda l’informazione organizzativa che le serve senza produrre lo stesso effetto invasivo, ed è la ragione esatta per cui il caso di apertura si è chiuso con un’obbligata riconfigurazione.

La visualizzazione in tempo reale serve meno spesso di quanto si creda. Per assegnare l’intervento al mezzo più vicino basta conoscere l’ultima posizione rilevata, e per le emergenze si può prevedere un’attivazione puntuale e tracciata invece di una funzione costantemente accesa e disponibile a chiunque abbia le credenziali.

La gestione delle fasce orarie nasconde invece l’insidia più frequente. Un impianto che continua a rilevare durante le pause, dopo la fine del turno o quando il mezzo viene usato per spostamenti privati raccoglie dati che non hanno più alcun collegamento con la finalità dichiarata. La disattivazione automatica fuori orario si configura in pochi minuti ed è tra le misure più solide da dimostrare in caso di controllo ispettivo.

Sul fronte degli accessi, occorre definire con rigore chi visualizza le posizioni, con quale ruolo e con quale registrazione delle consultazioni (log). Rendere la mappa visibile a chiunque entri nel gestionale trasforma uno strumento di coordinamento in un sistema di sorveglianza diffusa, senza che i vertici aziendali lo abbiano mai esplicitamente deciso.

I dati di posizione, infine, perdono rapidamente la loro utilità originaria. Dopo pochi giorni smettono di servire per organizzare il lavoro e si riducono a una mera cronologia degli spostamenti di una persona. Tempi di conservazione brevi risultano fondamentali e vanno impostati a livello di sistema, invece che essere delegati alla memoria o all’intervento manuale di un operatore.

Su tutto questo resta saldo il principio anticipato all’inizio: l’accordo sindacale è una condizione necessaria e da solo non esaurisce la questione privacy. Le due discipline procedono su binari paralleli e richiedono una conformità congiunta.

Cosa succede alla tua azienda in caso di data breach se non hai mai fatto una DPIA

Le settantadue ore previste dall’articolo 33 del GDPR per notificare una violazione al Garante sembrano un margine temporale ampio finché non ci si trova a doverle gestire in piena emergenza. In quella finestra strettissima l’azienda deve capire cosa è successo, quali dati sono stati compromessi, quante persone sono coinvolte, che conseguenze concrete possono subire e quali misure di sicurezza fossero attive al momento dell’incidente.
L’organizzazione che dispone di una DPIA aggiornata su quello specifico trattamento si trova con gran parte del lavoro di indagine già strutturato. Categorie di dati, numero di interessati, flussi verso i fornitori, tempi di conservazione, misure tecniche in essere: sono tutte informazioni che la valutazione contiene per definizione.
Dati cruciali che, altrimenti, andrebbero ricostruiti febbrilmente mentre l’incidente è ancora in corso, pretendendoli dalle stesse persone tecniche in quel momento impegnate a contenere il danno.

Il vantaggio strategico va ben oltre il mero risparmio temporale. L’articolo 34 impone di comunicare la violazione anche agli interessati quando questa presenta un rischio elevato per i loro diritti e libertà, e la valutazione per decidere se farlo segue l’esatto ragionamento della DPIA: probabilità, gravità, effetti tangibili sulle persone. Un’azienda che ha già codificato questi parametri in fase di progettazione arriva alla decisione finale applicando criteri consolidati, invece di doverli improvvisare in mezzo al caos.

La presenza della DPIA ha un peso determinante anche in sede sanzionatoria. Quando il Garante determina l’importo della multa, l’articolo 83 gli chiede di considerare il grado di responsabilità del titolare valutando le misure tecniche e organizzative messe in atto, oltre alle azioni intraprese per mitigare il danno. Una valutazione d’impatto che aveva individuato quel rischio, adottato misure proporzionate e previsto un riesame periodico dimostra in modo inconfutabile che l’organizzazione si era posta il problema preventivamente. Costituisce, in sintesi, una circostanza attenuante di enorme valore.

Questo rapporto di causa-effetto funziona anche nella direzione opposta. Un incidente di sicurezza che colpisce un trattamento coperto da DPIA è il segnale inequivocabile che impone di riaprire quel documento: se il rischio si è materializzato, le misure previste in fase di progettazione evidentemente non bastavano. A quel punto, il riesame dell’intero processo diventa obbligatorio prima ancora che opportuno.

FRIA e DPIA: obblighi diversi

L’AI Act ha introdotto, per alcuni soggetti che utilizzano sistemi di intelligenza artificiale ad alto rischio, una valutazione d’impatto sui diritti fondamentali chiamata FRIA. Costituisce, tuttavia, un adempimento normativo nettamente distinto dalla DPIA del GDPR, che continua ad applicarsi con le sue rigide regole.

Le due valutazioni condividono la logica di fondo: verificare a monte gli effetti di una tecnologia prima di metterla in funzione. Cambia però il perimetro. La DPIA guarda ai rischi che nascono dal trattamento dei dati personali, mentre la FRIA spinge l’analisi fino alle conseguenze su dignità, non discriminazione, libertà di espressione, accesso a servizi essenziali e altri diritti fondamentali, anche qualora tali impatti prescindano dal trattamento dei dati personali.

Per la maggior parte delle imprese la distinzione conta soprattutto per una ragione pratica: la FRIA riguarda una platea molto più ristretta. L’obbligo si applica agli organismi di diritto pubblico e ai soggetti privati che forniscono servizi pubblici. Si applica, inoltre, a banche e assicurazioni quando utilizzano sistemi di IA ad alto rischio per valutare il merito creditizio delle persone fisiche, oppure per determinare prezzi e profili di rischio nelle polizze vita e salute. In tutti questi casi il sistema deve rientrare tra quelli specificamente elencati nell’Allegato III dell’AI Act.

Una software house, un’impresa del retail, una PMI manifatturiera o uno studio professionale restano fuori dall’obbligo di FRIA anche se usano strumenti basati sull’intelligenza artificiale.

La DPIA però continua a valere imperativa: se quel sistema tratta dati personali e può creare un rischio elevato per le persone, la valutazione prevista dal GDPR resta assolutamente necessaria a prescindere dall’entrata in vigore dell’AI Act.

Sul fronte temporale è indispensabile fare chiarezza, per dissipare la notevole sovrapposizione di scadenze circolate negli ultimi mesi.
Dal 2 agosto 2026 si applicano gli obblighi di trasparenza previsti dall’articolo 50, concentrati su chatbot, contenuti sintetici e sistemi di riconoscimento emotivo. Gli obblighi relativi ai sistemi ad alto rischio dell’Allegato III, invece, sono stati rinviati al 2 dicembre 2027 dal Regolamento UE 2026/1744 (il cosiddetto Digital Omnibus, entrato in vigore il 27 luglio 2026). Per l’intelligenza artificiale ad alto rischio incorporata in prodotti già regolati, come alcuni dispositivi medici o macchinari industriali, il termine slitta ulteriormente al 2 agosto 2028.

La proroga trasla il termine ultimo, ma lascia intatto il carico operativo. Per le organizzazioni che rientreranno nell’obbligo, i mesi da qui a dicembre 2027 servono per mappare i sistemi in uso, capire esattamente quali dati personali trattano, definire ruoli e responsabilità con fornitori e sviluppatori, oltre a verificare quali DPIA esistono già in azienda e in quale stato di aggiornamento si trovano.

L’AI Act prevede infatti che, laddove una DPIA ai sensi del GDPR sia già stata diligentemente svolta, la valutazione sui diritti fondamentali possa integrarla invece di dover ricostruire da zero le medesime informazioni.
La DPIA resta un documento formalmente diverso dalla FRIA, però chi ce l’ha già pronta e aggiornata evita di ripartire dalla faticosa mappatura di architetture, dati, persone coinvolte, finalità e misure di controllo. Chi non l’ha fatta si troverà inevitabilmente a gestire due lavori complessi in simultanea, inseguiti da una scadenza sola.

Questa consapevolezza operativa si rivela cruciale anche per chi resta formalmente escluso dal perimetro della FRIA.
Un progetto di intelligenza artificiale che seleziona candidati, assegna priorità alle richieste, analizza comportamenti di acquisto o elabora dati sanitari può richiedere obbligatoriamente una DPIA già oggi. Aspettare le scadenze lontane dell’AI Act, in simili contesti, significa perdere pericolosamente di vista un obbligo del GDPR che esiste e sanziona da anni.

La DPIA va aggiornata quando cambia il trattamento

L’articolo 35, paragrafo 11, del GDPR impone al titolare di riesaminare tempestivamente la valutazione ogni qualvolta il rischio connesso al trattamento subisca una variazione. Si tratta dell’adempimento disatteso con maggiore frequenza, poiché la DPIA viene spesso concepita come un atto amministrativo spot, destinato a essere archiviato, mentre i sistemi aziendali continuano a evolversi.

Pensiamo a un gestionale già in uso che introduca improvvisamente un modulo basato sull’intelligenza artificiale. All’inizio l’applicativo si limitava a organizzare informazioni amministrative di routine; in seguito comincia a classificare richieste, suggerire priorità, analizzare comportamenti e produrre valutazioni automatizzate su clienti e dipendenti. La natura sostanziale del trattamento risulta profondamente mutata, sebbene l’etichetta commerciale del software e i riferimenti contrattuali con il fornitore siano rimasti immutati.

Lo stesso scenario si verifica quando un impianto di videosorveglianza viene esteso a una nuova sede operativa, quando si integrano telecamere dotate di video-analisi automatica, o quando il controllo accessi viene interconnesso alla rilevazione presenze. Ciascuno di questi interventi modifica in modo sensibile la quantità di dati raccolti, la durata della loro conservazione, la platea delle persone coinvolte o il grado di controllo effettivo esercitato su di esse.

Il riesame periodico non richiede sempre di riscrivere l’intero documento da zero. In presenza di modifiche circoscritte è sufficiente integrare la valutazione originaria, documentando puntualmente cosa è cambiato, quali nuovi rischi sono emersi e quali contromisure siano state adottate in risposta. Quando invece a mutare radicalmente sono la natura intrinseca del trattamento, la tecnologia impiegata o l’impatto reale sulle persone, conviene ripartire da un’analisi strutturata ex novo, poiché la vecchia architettura documentale non reggerebbe il confronto.

Il modo più efficace per non dimenticarsi di questo obbligo consiste nello smettere di legare la DPIA al semplice momento dell’acquisto, iniziando a considerarla un vero e proprio strumento di governo del trattamento nel corso del tempo. Una valutazione costantemente aggiornata consente all’impresa di verificare che quanto cristallizzato nella documentazione corrisponda fedelmente all’utilizzo quotidiano dei dati e dei sistemi. Quando la documentazione formale e la realtà operativa divergono, a intercettare per primo la difformità rischia di essere un ispettore dell’Autorità, anziché l’azienda stessa.

DPIA, LIA, TIA e FRIA: quale valutazione d’impatto serve e in quale momento

Nel linguaggio specialistico della privacy circolano frequentemente quattro sigle che, pur apparendo simili, rispondono a quesiti normativi profondamente diversi. Distinguerle con precisione evita di redigere documenti superflui o di farsi trovare scoperti durante un’ispezione dell’Autorità.
La tabella seguente mappa con esattezza il perimetro di ciascuno strumento, definendo la domanda chiave e il momento in cui scatta l’obbligo:

Le prime tre valutazioni convergono spesso sul medesimo progetto aziendale. Un software di analisi dei comportamenti di acquisto, fondato sul legittimo interesse e ospitato su server statunitensi, apre contemporaneamente i fronti procedurali di DPIA, LIA e TIA, imponendo per ciascuna una risposta rigorosamente documentata. La quarta, per contro, si applica esclusivamente alla ristretta platea di soggetti già delineata in precedenza.

Prima di firmare con il fornitore, verifica se serve una DPIA

Quando un progetto tecnologico o organizzativo comporta attività di monitoraggio, profilazione, trattamento di dati sanitari o biometrici, introduzione di soluzioni innovative oppure un impatto reale e tangibile su lavoratori e clienti, l’interrogativo sulla DPIA deve essere posto nel momento in cui i margini di manovra contrattuale e progettuale sono ancora ampi.
Il percorso preliminare prende le mosse da un’analisi rigorosa dell’architettura applicativa all’interno dell’organizzazione: quali flussi di dati vengono attivati, quali soggetti coinvolgono, quali processi decisionali supportano, chi detiene i permessi d’accesso e quali ripercussioni concrete possono generare sugli interessati. Da questa mappatura si determina l’esito dello step successivo, stabilendo se sia sufficiente redigere un pre-assessment documentato o se occorra avviare una valutazione d’impatto completa.
Servizio DPO affianca imprese, enti pubblici, software house e fornitori tecnologici nella valutazione dei trattamenti, nella definizione dei ruoli giuridici con clienti e subfornitori, e nella progettazione di contromisure strutturali che resistano alla prova del lavoro quotidiano. L’adozione di un nuovo gestionale, di un sistema di geolocalizzazione, di un impianto di videosorveglianza evoluta o di soluzioni basate sull’intelligenza artificiale richiede un rigoroso check-up preliminare: un’attività di verifica che individua l’effettiva necessità di una DPIA e corregge le criticità strutturali prima dell’avvio operativo.