DPIA: quando è obbligatoria e come si fa (GDPR 2026)

Che cos'è la DPIA

La valutazione d'impatto è prevista dall'art. 35 del Regolamento (UE) 2016/679 (GDPR). Serve a descrivere un trattamento di dati personali, valutarne necessità e proporzionalità, individuare i rischi per i diritti e le libertà delle persone e stabilire le misure per ridurli.

È uno strumento di accountability: il titolare non deve chiedere autorizzazioni, ma deve essere in grado di dimostrare di aver valutato i rischi prima di agire. È anche il modo concreto di applicare la protezione dei dati fin dalla progettazione (privacy by design, art. 25): la DPIA si fa quando il progetto è ancora modificabile, non a cose fatte.

Quando la DPIA è obbligatoria

L'art. 35, paragrafo 1, impone la DPIA quando un trattamento, specialmente se usa nuove tecnologie, può presentare un rischio elevato per i diritti e le libertà delle persone, considerati natura, oggetto, contesto e finalità.

Il paragrafo 3 indica tre casi in cui è sempre richiesta:

valutazione sistematica e globale di aspetti personali, basata su un trattamento automatizzato (compresa la profilazione), da cui derivano decisioni con effetti giuridici o effetti analoghi significativi sulle persone;
trattamento su larga scala di categorie particolari di dati (salute, dati biometrici e genetici, opinioni politiche, convinzioni religiose e altri dati dell'art. 9) o di dati relativi a condanne penali e reati;
sorveglianza sistematica su larga scala di una zona accessibile al pubblico.

Questi tre casi non esauriscono l'obbligo: vanno letti insieme ai criteri delle linee guida europee e all'elenco del Garante.

Il criterio dei "due su nove"

Le linee guida del Gruppo di lavoro Articolo 29 sulla valutazione d'impatto (WP 248 rev. 01, del 4 ottobre 2017, fatte proprie dal Comitato europeo per la protezione dei dati) individuano nove criteri che indicano un rischio elevato:

valutazione o assegnazione di un punteggio, compresa la profilazione;
decisioni automatizzate con effetti giuridici o analoghi;
monitoraggio sistematico degli interessati;
dati sensibili o di carattere altamente personale;
trattamento su larga scala;
combinazione o incrocio di insiemi di dati;
dati di interessati vulnerabili (per esempio minori, dipendenti, pazienti);
uso innovativo o nuove soluzioni tecnologiche od organizzative;
trattamenti che impediscono di esercitare un diritto o di accedere a un servizio o a un contratto.

Se un trattamento soddisfa due o più criteri, di regola serve la DPIA. In alcuni casi il titolare può ritenerla necessaria anche se ne ricorre uno solo. Il Garante ha richiamato espressamente questa regola nel provvedimento sull'elenco dei trattamenti soggetti a DPIA.

L'elenco del Garante

Con il provvedimento n. 467 dell'11 ottobre 2018 il Garante ha pubblicato l'elenco delle dodici tipologie di trattamenti da sottoporre a DPIA (art. 35, par. 4). Tra quelle più rilevanti per le imprese:

trattamenti valutativi o di scoring su larga scala, profilazione e attività predittive;
trattamenti nell'ambito del rapporto di lavoro mediante sistemi tecnologici, compresi videosorveglianza e geolocalizzazione, da cui derivi la possibilità di un controllo a distanza dei dipendenti;
trattamenti non occasionali di dati di soggetti vulnerabili (minori, disabili, anziani, pazienti);
trattamenti effettuati con tecnologie innovative, come l'intelligenza artificiale o i dispositivi connessi;
trattamenti sistematici di dati biometrici e di dati genetici.

L'elenco non è esaustivo: resta fermo l'obbligo di DPIA quando ricorrono due o più criteri delle linee guida europee.

Per una PMI i casi più frequenti sono quindi gli impianti di videosorveglianza o GPS che riguardano i dipendenti (si veda l'articolo sulle telecamere sul posto di lavoro), i sistemi di rilevazione presenze biometrici, gli strumenti di intelligenza artificiale che valutano persone, come i software di selezione del personale (si veda l'articolo sull'AI Act per le PMI), e i trattamenti di dati sanitari su larga scala.

Cosa deve contenere la DPIA

L'art. 35, paragrafo 7, indica il contenuto minimo:

una descrizione sistematica dei trattamenti previsti e delle finalità, compreso l'interesse legittimo del titolare, se rilevante;
una valutazione della necessità e proporzionalità dei trattamenti rispetto alle finalità;
una valutazione dei rischi per i diritti e le libertà degli interessati;
le misure previste per affrontare i rischi, comprese garanzie e misure di sicurezza, e per dimostrare la conformità al GDPR.

Il GDPR non impone un formato. Molte imprese usano lo strumento software gratuito messo a disposizione dall'autorità francese (CNIL) e indicato anche dal Garante, oppure modelli propri, purché coprano i quattro punti.

Chi la fa e quando

Chi: la DPIA è responsabilità del titolare del trattamento. Se è stato nominato un DPO, il titolare deve chiederne il parere (art. 35, par. 2). Possono contribuire i responsabili IT e sicurezza, il fornitore del sistema (che è tenuto ad assistere il titolare) e, se opportuno, gli interessati o i loro rappresentanti (par. 9).
Quando: prima di iniziare il trattamento. Va poi riesaminata quando cambiano i rischi, per esempio se si aggiungono telecamere, si cambia software o si estende il trattamento ad altri dati (par. 11).

Se il rischio resta elevato: la consultazione preventiva

Se, nonostante le misure individuate, la DPIA conclude che il rischio residuo resta elevato, il titolare deve consultare il Garante prima di iniziare il trattamento (art. 36). Il Garante risponde di regola entro otto settimane, prorogabili di sei per i casi complessi, e può indicare misure o vietare il trattamento.

Nella pratica la consultazione preventiva è rara: una DPIA ben fatta porta di solito a misure che riducono il rischio a un livello accettabile.

Cosa si rischia senza DPIA

La mancata DPIA quando è obbligatoria, una DPIA incompleta o la mancata consultazione preventiva violano gli artt. 35 e 36 del GDPR e sono soggette a sanzione amministrativa fino a 10 milioni di euro o, per le imprese, fino al 2% del fatturato mondiale annuo, se superiore (art. 83, par. 4).

Nei provvedimenti sulla videosorveglianza e sui dati biometrici dei dipendenti il Garante contesta spesso, insieme alle altre violazioni, anche la mancata valutazione d'impatto.

Errori da evitare

Fare la DPIA dopo aver installato il sistema o avviato il trattamento.
Copiare un modello generico senza descrivere davvero il trattamento e i rischi concreti.
Confondere la DPIA con il registro dei trattamenti o con l'analisi dei rischi di sicurezza informatica: sono collegati, ma la DPIA riguarda i diritti delle persone, non solo la sicurezza dei sistemi.
Non coinvolgere il DPO, quando è nominato.
Non aggiornarla quando il trattamento cambia.
Dimenticare il fornitore: va chiesta la documentazione tecnica necessaria per valutare i rischi.

Esempio pratico

Una catena di tre negozi di elettronica nella provincia di Ancona, con 25 dipendenti, vuole installare un sistema di videosorveglianza con 20 telecamere collegate a un software che rileva comportamenti sospetti con funzioni di intelligenza artificiale.

Ricorrono almeno tre criteri: monitoraggio sistematico (3), dipendenti come interessati vulnerabili nel rapporto di lavoro (7) e uso di una tecnologia innovativa (8). Il trattamento rientra anche nell'elenco del Garante (controllo a distanza dei lavoratori, tecnologie innovative). La DPIA è obbligatoria.

Il titolare descrive il sistema, le finalità (tutela del patrimonio) e i flussi di dati, con l'aiuto del fornitore.
Valuta necessità e proporzionalità: limita le inquadrature alle casse e alle uscite, esclude le aree di sosta del personale, disattiva le funzioni non necessarie, fissa un tempo di conservazione breve.
Analizza i rischi (accessi abusivi, uso delle immagini per controllare la produttività, errori dell'algoritmo) e fissa le misure (accessi limitati, registri degli accessi, procedura di verifica umana degli allarmi).
Ottiene l'accordo sindacale o l'autorizzazione dell'Ispettorato del lavoro previsti dall'art. 4 dello Statuto dei lavoratori, aggiorna informative e cartelli e programma il riesame della DPIA dopo un anno.

Riferimenti normativi e di prassi

Regolamento (UE) 2016/679 (GDPR), artt. 25, 35, 36 e 83, par. 4
Garante per la protezione dei dati personali, provvedimento n. 467 dell'11 ottobre 2018, doc. web n. 9058979 (GU n. 269 del 19 novembre 2018), e Allegato 1
Gruppo di lavoro Articolo 29, Linee guida in materia di valutazione d'impatto sulla protezione dei dati, WP 248 rev. 01 (4 ottobre 2017), fatte proprie dall'EDPB il 25 maggio 2018

Domande frequenti

La DPIA è obbligatoria per tutte le aziende?

No. È obbligatoria solo per i trattamenti che possono presentare un rischio elevato: quelli indicati dall'art. 35 del GDPR, quelli dell'elenco del Garante (provvedimento n. 467 dell'11 ottobre 2018) e quelli che soddisfano almeno due dei nove criteri delle linee guida europee. Molte PMI non ne hanno bisogno, ma i casi di videosorveglianza o geolocalizzazione dei dipendenti sono frequenti.

La videosorveglianza richiede la DPIA?

Spesso sì. L'elenco del Garante include i trattamenti nel rapporto di lavoro con sistemi tecnologici, compresi videosorveglianza e geolocalizzazione, da cui derivi un possibile controllo a distanza dei dipendenti. Il GDPR la richiede anche per la sorveglianza sistematica su larga scala di zone accessibili al pubblico. Un piccolo impianto antifurto senza dipendenti ripresi può invece non richiederla.

Chi deve fare la DPIA?

Il titolare del trattamento, cioè l'impresa che decide finalità e mezzi. Se ha nominato un DPO deve chiederne il parere; può farsi aiutare da consulenti, dai responsabili IT e dal fornitore del sistema, che deve fornire le informazioni necessarie. La responsabilità della valutazione e delle scelte resta comunque del titolare.

Cosa deve contenere una DPIA?

Almeno quattro elementi (art. 35, par. 7, GDPR): la descrizione del trattamento e delle finalità, la valutazione di necessità e proporzionalità, l'analisi dei rischi per i diritti e le libertà delle persone, le misure per ridurre i rischi e dimostrare la conformità. Il formato è libero; molte imprese usano il software gratuito messo a disposizione dall'autorità francese.

Cosa succede se la DPIA evidenzia un rischio elevato?

Se le misure individuate non bastano a ridurre il rischio, il titolare deve consultare il Garante prima di iniziare il trattamento (art. 36 GDPR). Il Garante risponde di regola entro otto settimane, prorogabili di sei, e può indicare misure aggiuntive o vietare il trattamento. Nella pratica una buona DPIA porta quasi sempre a misure sufficienti.

DPIA: quando è obbligatoria la valutazione d'impatto privacy e come si fa