Quando è obbligatoria la valutazione d'impatto sulla protezione dei dati?
È obbligatoria prima del trattamento quando il trattamento di dati personali può comportare un rischio elevato per la personalità o i diritti fondamentali della persona interessata. Il rischio elevato dipende dal tipo, dall’entità, dalle circostanze e dallo scopo del trattamento e sussiste segnatamente nei casi indicati dalla legge.
La valutazione d’impatto sulla protezione dei dati deve essere effettuata previamente quando il trattamento dei dati personali può comportare un rischio elevato per la personalità o i diritti fondamentali della persona interessata. Se sono previste più operazioni di trattamento simili, è possibile procedere con una valutazione d’impatto comune. Per stabilire se il rischio sia elevato, occorre verificare il tipo, l’entità, le circostanze e lo scopo del trattamento; la legge precisa inoltre che ciò vale in particolare in caso di utilizzazione di nuove tecnologie.[1]
- La legge indica espressamente due situazioni in cui il rischio elevato sussiste segnatamente: trattamento su grande scala di dati personali degni di particolare protezione.
- Sorveglianza sistematica di ampi spazi pubblici.
- La valutazione d’impatto deve contenere almeno una descrizione del trattamento previsto, una valutazione dei rischi per la personalità o per i diritti fondamentali della persona interessata e i provvedimenti a loro tutela.
Vi sono anche casi in cui l’obbligo non si applica o può essere evitato. Il titolare privato tenuto a effettuare il trattamento in virtù di un obbligo legale è esentato dall’obbligo di procedere a una valutazione d’impatto. Inoltre, il titolare privato del trattamento può rinunciare a una valutazione d’impatto se utilizza un sistema, un prodotto o un servizio con certificazione secondo l’articolo 13 per l’impiego previsto, oppure se rispetta un codice di condotta secondo l’articolo 11 che si basa su una valutazione d’impatto sulla protezione dei dati, prevede misure a tutela della personalità e dei diritti fondamentali della persona interessata ed è stato sottoposto all’IFPDT.[1]
Questa risposta riassume il testo legale citato come pubblicato su Fedlex. Prima di agire, occorre verificare la disposizione attualmente in vigore e ogni successiva modifica.[1]