Dalla standardizzazione europea della valutazione d’impatto ai riflessi operativi per i titolari del trattamento e pubbliche amministrazioni
L’European Data Protection Board (E.D.P.B.) ha adottato in la consultazione pubblica un template standardizzato per la Data Protection Impact Assessment, accompagnato da un “explainer”, con l’obiettivo di armonizzare la documentazione minima della Valutazione di Impatto sulla Protezione dei Dati Personali (V.I.P.D.) o Data Protection Impact Assessment (D.P.I.A.) richiesta dall’art. 35 del Reg. (UE) 2016/679[1] in un formato comune e più facilmente leggibile dalle autorità di controllo europee; il pacchetto è stato posto in consultazione pubblica fino al 9 giugno 2026.
Il messaggio di fondo è chiaro: la D.P.I.A. non deve più essere solo un elaborato descrittivo o un allegato tecnico eterogeneo, ma un documento strutturato, tracciabile e comparabile, capace di dare evidenza del percorso logico seguito dal Titolare. [2]
L’Explainer EDPB chiarisce, tuttavia, che il modello non impone una metodologia unica di analisi e gestione del rischio, poiché i Titolari del Trattamento (“Controllers”) restano liberi di utilizzare il metodo ritenuto più idoneo, purché siano sempre documentati almeno i risultati essenziali e i collegamenti tra le varie sezioni della valutazione, conformando che il nuovo modello europeo vuole essere un formato minimo comune di rendicontazione, non un algoritmo valutativo rigido né un sostituto delle scelte organizzative del Titolare.
Il confronto con le Linee guida WP248 rev.01[3] consente di cogliere immediatamente la differente impostazione e finalità dei documenti. Le WP248 avevano chiarito quando la D.P.I.A. è obbligatoria, chi debba condurla, il fatto che la valutazione debba precedere l’avvio del trattamento e che non debba essere letta come un adempimento una tantum, ma come un processo soggetto a revisione continua; inoltre, avevano collegato la consultazione dell’autorità al permanere di un rischio residuale elevato ai sensi dell’art. 36 del G.D.P.R.
Il Template E.D.P.B. 2026 trasforma quei principi in una griglia operativa molto più analitica, articolata in aree dedicate alla panoramica del trattamento, descrizione sistematica, analisi di liceità e conformità, necessità e proporzionalità, valutazione del rischio e correlata metodologia, piano d’azione, coinvolgimento di D.P.O. e stakeholders, nonché decisione finale sulla praticabilità del trattamento[4].
L’affinamento del Modello Europeo risulta particolarmente utile in tema di “accountability” in organizzazioni complesse, ma non esaurisce la dimensione sostanziale della D.P.I.A. così come letta dal Garante italiano.
La pagina tematica del Garante ribadisce infatti che la valutazione d’impatto è uno degli strumenti più rilevanti della responsabilizzazione del Titolare, che non si esaurisce nella sicurezza dei dati e non può essere ridotta a un mero schema predefinito, tanto che anche il software C.N.I.L.[5] messo a disposizione come supporto metodologico non deve essere inteso come modello universale per qualsiasi trattamento.
In altri termini, il Template E.D.P.B. è molto utile come “contenitore comune”, ma la qualità della D.P.I.A. continua a dipendere dalla capacità del Titolare di contestualizzare il rischio, motivare la necessità del trattamento e dimostrare la proporzionalità delle scelte compiute.
Sotto questo profilo, resta centrale il raccordo con il Provvedimento n. 467 dell’11 ottobre 2018 dell’Autorità Garante per la Protezione dei Dati Personali[6], doc. web 9058979, che integra il WP248 e individua le tipologie di trattamenti soggetti al requisito della D.P.I.A. ai sensi dell’art. 35, § 4 del G.D.P.R.
Lo stesso provvedimento precisa che l’elenco non è esaustivo, che il ricorrere di due o più criteri WP248 è indice di rischio elevato e che, in alcuni casi, anche il soddisfacimento di un solo criterio può indurre il titolare a svolgere comunque la valutazione d’impatto.
La pagina D.P.I.A. del Garante aggiunge due chiarimenti interpretativi di particolare interesse pratico: i trattamenti “sistematici” e “non occasionali” richiamati in alcuni punti dell’elenco vanno ricondotti al criterio della larga scala, mentre il riferimento ai dati biometrici deve intendersi riferito ai dati biometrici trattati per identificare univocamente una persona fisica.
Per le Pubbliche Amministrazioni, il nuovo Modello E.D.P.B. rappresenterebbe un ausilio nella ricostruzione dei seguenti passaggi:
- aiuterebbe a ricostruire in modo ordinato la catena soggettiva tra titolare, contitolari, responsabili e sub-responsabili, aspetto decisivo nei modelli SaaS, nelle piattaforme nazionali condivise e nei servizi digitali erogati con fornitori esterni;
- costringe a descrivere in modo verificabile basi giuridiche, categorie di dati, finalità, eventuali usi secondari, tempi di conservazione, trasferimenti, misure di esercizio dei diritti e stato di implementazione delle salvaguardie, riducendo il rischio di DPIA generiche o meramente assertive;
- valorizza la dimensione di governance, imponendo data di validazione, piano di revisione, coinvolgimento del D.P.O. ai sensi dell’art. 35 § 2 e dell’art. 39 § 1 lett. (c) del G.D.P.R. e, quando appropriato, consultazione degli interessati o dei loro rappresentanti.
Restano però anche alcune carenze o, quantomeno, alcuni profili che il titolare pubblico italiano dovrà integrare con allegati dedicati. Il Modello E.D.P.B. è volutamente neutro e “minimo”, perciò non incorpora in modo espresso i raccordi con la disciplina nazionale di settore, con gli obblighi di conservazione documentale, con la trasparenza amministrativa, con l’interoperabilità tra banche dati pubbliche o con i vincoli organizzativi tipici delle amministrazioni; tali profili, se rilevanti, devono essere esplicitati dal titolare nella parte su necessità, proporzionalità, liceità e misure di compliance, oppure in allegati tecnici e giuridici richiamati nel documento.
Il modello europeo appare invece ben allineato, sul piano metodologico generale, alla ISO/IEC 29134:2023, che definisce linee guida sia per il processo di privacy impact assessment sia per la struttura e il contenuto del relativo report, con applicabilità a organizzazioni di ogni tipo e dimensione, incluse le entità governative. In questa prospettiva, il modello E.D.P.B. può essere letto come un tracciato documentale coerente con la logica ISO, perché spinge verso una D.P.I.A. più verificabile, versionata, ancorata ai flussi di dati e alla gestione del rischio, pur lasciando libertà sul metodo analitico adottato.
Per i titolari maturi, la combinazione tra struttura E.D.P.B. e disciplina metodologica ISO può dunque costituire una soluzione solida, idonea a evitare sia il formalismo compilativo sia l’eccessiva indeterminatezza delle valutazioni troppo discorsive.
Merita infine un chiarimento il richiamo alla Fundamental Rights Impact Assessment[7] (o F.R.I.A.) dell’I.A. ACT: la valutazione d’impatto sui diritti fondamentali è prevista dall’art. 27 del Reg. (UE) n. 2024/1689 per determinati sistemi di IA ad alto rischio è, in particolare, richiesta anche quando siano impiegati da organismi di diritto pubblico o da soggetti privati che prestano servizi pubblici.
Lo stesso A.I. Act precisa che, quando gli obblighi siano già stati in parte soddisfatti tramite la D.P.I.A. ex art. 35 G.D.P.R., la F.R.I.A. deve completarla, non duplicarla. Per le amministrazioni che intendano introdurre sistemi di IA ad alto rischio, il nuovo template E.D.P.B. potrebbe, quindi, costituire una base utile, ma non sufficiente, dovendo essere integrato con il profilo specifico dei diritti fondamentali, della supervisione umana e dei meccanismi di reclamo richiesti dalla disciplina sull’I.A.
Conclusioni operative, contestualizzate alle indicazioni dell’Autorità Garante:
- Il template E.D.P.B. in fase di consultazione va considerato come struttura comune di redazione della D.P.I.A., non come sostituto della valutazione sostanziale richiesta dall’art. 35 GDPR e dalla prassi del Garante, salvo nuovi orientamenti.
- L’avvio della D.P.I.A. dovrebbe sempre contenere una verifica espressa dei criteri WP248 e del provvedimento del Garante n. 467/2018, ricordando che l’elenco nazionale integra ma non esaurisce i casi in cui la valutazione è necessaria.
- Per le pubbliche amministrazioni è opportuno allegare al template europeo una nota giuridica su base normativa del trattamento, limiti di finalità, tempi di conservazione, regole di interoperabilità, ruoli privacy e vincoli di trasparenza o pubblicazione eventualmente incidenti sul trattamento.
- La distinzione introdotta dal modello E.D.P.B. tra rischi strutturali del trattamento e rischi da eventi anomali dovrebbe essere mantenuta con rigore, perché aiuta a non confondere la valutazione di necessità e proporzionalità con la sola analisi di sicurezza informatica.
- Nei casi di I.A. ad alto rischio utilizzata da soggetti pubblici o concessionari di servizi pubblici, la D.P.I.A. dovrà essere coordinata con la Fundamental Rights Impact Assessment di cui all’art. 27 A.I. Act, secondo una logica di complementarità documentale e non di duplicazione meccanica.
A cura di Dott. Eucalipto Edoardo
[1] Art. 35 – Valutazione d’impatto sulla protezione dei dati, co. 1: “Quando un tipo di trattamento, allorché prevede in particolare l’uso di nuove tecnologie, considerati la natura, l’oggetto, il contesto e le finalità del trattamento, può presentare un rischio elevato per i diritti e le libertà delle persone fisiche, il titolare del trattamento effettua, prima di procedere al trattamento, una valutazione dell’impatto dei trattamenti previsti sulla protezione dei dati personali. Una singola valutazione può esaminare un insieme di trattamenti simili che presentano rischi elevati analoghi […]”, Reg. (UE) n. 2016/679 “relativo alla protezione delle persone fisiche con riguardo al trattamento dei dati personali, nonché alla libera circolazione di tali dati e che abroga la direttiva 95/46/CE (regolamento generale sulla protezione dei dati)” – General Data Protection Regulation (G.D.P.R.), in G.U.U.E. L 119/1 n. 127 del 23 maggio 2018, anche in https://eur-lex.europa.eu/;
[2] Cfr. “The EDPB DPIA template is subject to a public consultation. After the public consultation is finished, the template will be finalised (subject to any appropriate modifications), after which all data protection authorities will begin the necessary steps to adopt this template as their unique template or as a ‘meta-template’ with which national specific templates will be compatible. In the meantime, organisations are encouraged to use this template and to provide feedback in the context of the public consultation”, E.D.P.B. D.P.I.A. Template, in consultazione pubblica dal 14 aprile 2026, in https://www.edpb.europa.eu/;
[3] Cfr. Linee guida in materia di valutazione d’impatto sulla protezione dei dati e determinazione della possibilità che il trattamento “possa presentare un rischio elevato” ai fini del regolamento (UE) 2016/679, Working Party Article 29, adottate il 4 aprile 2017, ultima modifica nel 4 ottobre 2017, in https://www.edpb.europa.eu/;
[4] Tra gli elementi di maggiore novità del modello si segnalano la scheda tecnica iniziale della D.P.I.A., il versioning del documento e del trattamento, la delimitazione espressa del perimetro dell’analisi, la richiesta di descrivere il ciclo di vita dei dati e i flussi end-to-end, nonché l’inventario degli asset di supporto e dell’architettura sottostante rilevante ai fini del rischio. Il template distingue inoltre in modo netto i rischi “strutturali” del trattamento, ossia quelli che permangono anche se tutto funziona come previsto, dai rischi legati a eventi non ordinari, accidentali, illeciti o anomali, come errori operativi, misconfigurazioni, abuso interno o attacchi esterni. È altrettanto significativa la separazione tra rischio inerente, misure aggiuntive e rischio residuale, con esplicita richiesta di indicare criteri metodologici, livelli di likelihood e severity, soglie di accettazione del rischio e piano di attuazione delle misure ulteriori;
[5] Sebbene il software del C.N.I.L. sia attualmente ancora richiamato in apposita pagina dell’Autorità Garante per la Protezione dei Dati Personali, tale strumento risulta datato e non aggiornato alle ultime indicazioni pertinenti, specie al Modello in parola proposto dall’European Data Protection Board, al Reg. (UE) 2024/1689 – I.A. Act, nonché ad ulteriori prassi e standard in tema di Valutazione di Impatto; cfr. https://www.garanteprivacy.it/valutazione-d-impatto-della-protezione-dei-dati-dpia-;
[6] Cfr. Elenco delle tipologie di trattamenti soggetti al requisito di una valutazione d’impatto sulla protezione dei dati ai sensi dell’art. 35, comma 4, del Regolamento (UE) n. 2016/679 – 11 ottobre 2018, adottato dall’Autorità Garante per la Protezione dei Dati Personali con Provv. n. 467 dell’11 ottobre 2018, in G.U. S.G. n. 269, 19 novembre 2018, in https://www.garanteprivacy.it/;
[7] Cfr. Art. 27 § 1 laddove “Prima di utilizzare un sistema di IA ad alto rischio di cui all’articolo 6, paragrafo 2, ad eccezione dei sistemi di IA ad alto rischio destinati a essere usati nel settore elencati nell’allegato III, punto 2, i deployer che sono organismi di diritto pubblico o sono enti privati che forniscono servizi pubblici e i deployer di sistemi di IA ad alto rischio di cui all’allegato III, punto 5, lettere b) e c), effettuano una valutazione dell’impatto sui diritti fondamentali che l’uso di tale sistema può produrre […]”, in Reg. (UE) n. 2024/1689 recante “che stabilisce regole armonizzate sull’intelligenza artificiale e modifica i regolamenti (CE) n, 300/2008, (UE) n, 167/2013, (UE) n, 168/2013, (UE) 2018/858, (UE) 2018/1139 e (UE) 2019/2144 e le direttive 2014/90/UE, (UE) 2016/797 e (UE) 2020/1828 (regolamento sull’intelligenza artificiale)”, del 13 giugno 2024, in G.U.U.E. serie L. 12.7.2024, anche in https://eur-lex.europa.eu/.
