Articolo a cura di: Redazione - Studio Legale Calvello
Una DPIA mancante, incompleta o non aggiornata può esporre l’azienda a contestazioni del Garante per la protezione dei dati personali, provvedimenti correttivi e sanzioni amministrative quando la valutazione d’impatto è obbligatoria ai sensi del GDPR. Il problema riguarda soprattutto le imprese che utilizzano sistemi di monitoraggio dei lavoratori, tecnologie biometriche, strumenti di profilazione o altri trattamenti che possono presentare un rischio elevato per i diritti e le libertà delle persone fisiche. La valutazione deve essere effettuata prima dell’avvio del trattamento e riesaminata quando cambiano i rischi. Se l’azienda scopre di non averla predisposta, oppure dispone di un documento ormai superato, occorre verificare tempestivamente l’obbligo applicabile, le attività già svolte e le misure necessarie per correggere la situazione. Nei casi più complessi può essere opportuno richiedere una valutazione legale della conformità GDPR, soprattutto quando il trattamento è già operativo o sono in corso controlli.
DPIA mancante o non aggiornata: quando l’azienda è esposta a una violazione del GDPR
La valutazione d’impatto sulla protezione dei dati personali, comunemente indicata con l’acronimo DPIA (Data Protection Impact Assessment), è disciplinata dall’articolo 35 del Regolamento (UE) 2016/679. Il titolare del trattamento deve effettuarla prima di procedere quando un trattamento, considerati natura, oggetto, contesto e finalità, può presentare un rischio elevato per i diritti e le libertà delle persone fisiche, in particolare per l’impiego di nuove tecnologie. Non si tratta di un documento obbligatorio indistintamente per ogni impresa o per qualsiasi attività che comporti l’utilizzo di dati personali.
La prima criticità si verifica quando l’azienda avvia un trattamento soggetto a DPIA senza aver effettuato la valutazione preventiva. Può accadere, ad esempio, con l’introduzione di strumenti informatici destinati al monitoraggio sistematico dei dipendenti, sistemi biometrici per il controllo degli accessi o piattaforme che analizzano grandi quantità di informazioni personali. In queste situazioni, la conformità non dipende dalla semplice presenza di informative privacy, contratti con i fornitori o misure di sicurezza informatica. Occorre verificare se il trattamento richieda una specifica analisi preventiva dei rischi e se tale analisi sia stata effettivamente svolta.
Un secondo problema riguarda la DPIA esistente ma non più corrispondente al trattamento concretamente effettuato. Un’impresa potrebbe aver predisposto una valutazione corretta al momento dell’introduzione di un software e averne successivamente ampliato le funzionalità, modificato le finalità o aumentato considerevolmente il numero degli interessati. Se questi cambiamenti incidono sul livello di rischio, la valutazione deve essere riesaminata e, quando necessario, aggiornata. L’articolo 35, paragrafo 11, del GDPR prevede infatti che il titolare proceda, se necessario, a un riesame per valutare se il trattamento sia effettuato conformemente alla DPIA, almeno quando intervengono variazioni del rischio.
La questione assume particolare rilievo quando vengono introdotti sistemi di intelligenza artificiale, strumenti di analisi comportamentale o tecnologie capaci di collegare informazioni provenienti da diverse banche dati. Non ogni nuovo software rende automaticamente obbligatoria una DPIA, ma l’impresa deve valutare concretamente le caratteristiche del trattamento. La presenza di una valutazione risalente a diversi anni prima non costituisce, da sola, una violazione: il problema nasce quando il documento non rappresenta più i rischi effettivi oppure non viene riesaminato nonostante cambiamenti rilevanti.
Per stabilire quando la valutazione sia richiesta, occorre considerare i criteri previsti dall’articolo 35 GDPR, le indicazioni delle autorità europee e gli elenchi pubblicati dal Garante. Abbiamo approfondito i presupposti dell’obbligo nell’articolo dedicato a quando l’azienda deve effettuare la DPIA. Una volta accertata la necessità della valutazione, resta da verificare se il documento esistente sia sufficientemente completo e coerente con le attività aziendali.
Quali carenze rendono la DPIA inadeguata e quando deve essere aggiornata
La conformità della DPIA non si misura dal numero di pagine o dalla presenza di un modello formalmente compilato. L’articolo 35, paragrafo 7, del GDPR richiede almeno una descrizione sistematica dei trattamenti previsti e delle relative finalità, una valutazione della necessità e proporzionalità delle operazioni, l’analisi dei rischi per i diritti e le libertà degli interessati e l’individuazione delle misure previste per affrontarli. Una DPIA generica, copiata da un’altra organizzazione o compilata senza esaminare il funzionamento effettivo del trattamento può risultare insufficiente, anche quando il documento è stato regolarmente archiviato.
Consideriamo un’azienda che utilizzi una piattaforma per monitorare l’attività dei lavoratori. Una valutazione limitata a descrivere le caratteristiche tecniche del software, senza esaminare quali dati vengano raccolti, chi possa consultarli, per quanto tempo siano conservati e quali conseguenze possano derivare dal loro utilizzo, rischia di non soddisfare i requisiti normativi. L’analisi deve considerare anche gli effetti sui diritti degli interessati e le misure concretamente adottate per ridurre i rischi individuati. Se il sistema consente ulteriori controlli o elaborazioni rispetto a quelli originariamente previsti, occorre verificare se la DPIA debba essere aggiornata.
Un’altra situazione frequente riguarda l’utilizzo di valutazioni predisposte dai fornitori di software o servizi cloud. Questi documenti possono fornire informazioni tecniche utili, ma non sostituiscono automaticamente la DPIA che compete al titolare del trattamento. Il fornitore potrebbe non conoscere le finalità specifiche dell’impresa, le modalità organizzative di utilizzo del sistema o i collegamenti con altre banche dati aziendali. Quando opera come responsabile del trattamento, è tenuto a fornire assistenza al titolare nei termini dell’articolo 28, paragrafo 3, lettera f), del GDPR, tenendo conto della natura del trattamento e delle informazioni a sua disposizione. La responsabilità di valutare la necessità della DPIA e di assicurarne lo svolgimento rimane però in capo al titolare.
Le carenze possono emergere anche dal confronto con il registro delle attività di trattamento. Se il registro descrive operazioni, categorie di interessati o finalità differenti rispetto a quelle considerate nella DPIA, l’incoerenza può indicare che la documentazione non è stata mantenuta allineata all’organizzazione aziendale. Il registro dei trattamenti non aggiornato costituisce una problematica distinta, ma il confronto tra i documenti è utile per individuare modifiche che richiedono una nuova analisi del rischio.
Particolare attenzione merita il ruolo del Responsabile della protezione dei dati (DPO o RPD), quando designato. L’articolo 35, paragrafo 2, stabilisce che il titolare ne consulta il parere durante lo svolgimento della DPIA. Il DPO fornisce consulenza e sorveglia l’osservanza delle disposizioni applicabili, secondo l’articolo 39, ma non assume automaticamente la responsabilità del titolare per la mancata effettuazione della valutazione. L’impresa deve assicurare il suo coinvolgimento e mettere a disposizione le informazioni necessarie. Anche quando la predisposizione materiale del documento viene affidata a un professionista esterno, le decisioni sul trattamento e sulle misure da adottare rimangono di competenza del titolare.
Il riesame diventa particolarmente delicato quando l’analisi individua un rischio elevato che le misure previste non riescono a ridurre adeguatamente. In presenza dei presupposti dell’articolo 36 GDPR, il titolare deve consultare preventivamente il Garante prima di procedere al trattamento. Non è sufficiente registrare il rischio nella documentazione e decidere di accettarlo senza ulteriori verifiche. Per questo, nell’esaminare una DPIA incompleta o non aggiornata, occorre valutare tanto le carenze formali quanto la concreta esposizione degli interessati e le conseguenze operative delle misure eventualmente mancanti.
Sanzioni, responsabilità e controlli del Garante Privacy: cosa rischia concretamente l’azienda
La mancata effettuazione di una DPIA obbligatoria costituisce una violazione dell’articolo 35 GDPR e può comportare l’applicazione delle sanzioni previste dall’articolo 83, paragrafo 4, lettera a), del Regolamento. La sanzione amministrativa pecuniaria può arrivare fino a 10 milioni di euro oppure, per le imprese, fino al 2% del fatturato mondiale totale annuo dell’esercizio precedente, se superiore. Si tratta dei limiti massimi previsti dalla normativa, non di importi automaticamente applicabili. Il Garante deve valutare le circostanze concrete della violazione, comprese gravità, durata, natura del trattamento, eventuali conseguenze per gli interessati e misure adottate dall’impresa.
La situazione può risultare più complessa quando l’assenza della valutazione d’impatto si accompagna ad altre violazioni del GDPR. Un trattamento effettuato senza adeguate misure di sicurezza, in assenza di una valida base giuridica oppure in contrasto con i principi di liceità, correttezza e trasparenza può comportare contestazioni autonome, soggette anche a differenti regimi sanzionatori. Occorre quindi distinguere la mancata DPIA dalle eventuali irregolarità del trattamento sottostante: la prima non dimostra automaticamente l’esistenza delle seconde, ma può rendere più difficile documentare che i rischi siano stati correttamente individuati e gestiti.
Durante un’ispezione o a seguito di una richiesta di informazioni, il Garante può verificare se l’impresa abbia valutato la necessità della DPIA, quando sia stata predisposta, quali trattamenti comprenda e se le misure individuate siano state effettivamente adottate. La semplice produzione di un documento non necessariamente soddisfa tali verifiche. Se la valutazione descrive un sistema informatico diverso da quello utilizzato, non considera funzionalità introdotte successivamente oppure trascura rischi rilevanti, l’autorità può contestarne l’adeguatezza. In queste circostanze assume particolare importanza la capacità dell’azienda di ricostruire le decisioni assunte, le modifiche intervenute e le ragioni delle misure adottate.
Ai sensi dell’articolo 58 GDPR, il Garante dispone anche di poteri correttivi diversi dalla sanzione pecuniaria. Può, ricorrendone i presupposti, rivolgere ammonimenti o ingiunzioni, imporre l’adeguamento dei trattamenti e disporre limitazioni temporanee o definitive, compreso il divieto di trattamento. La sospensione di un’attività aziendale non è una conseguenza automatica della DPIA mancante: un eventuale provvedimento restrittivo riguarda il trattamento dei dati e deve essere valutato in relazione alla violazione accertata. Se quel trattamento è indispensabile per un processo produttivo o commerciale, la limitazione può comunque determinare conseguenze organizzative ed economiche rilevanti.
La responsabilità di assicurare il rispetto degli obblighi previsti dal GDPR compete al titolare del trattamento, normalmente la società o l’ente che determina finalità e mezzi del trattamento. La presenza di un DPO, di un responsabile IT o di un consulente privacy non trasferisce automaticamente tale responsabilità. Gli amministratori e i dirigenti devono assicurare che le funzioni aziendali competenti dispongano delle informazioni e delle risorse necessarie per individuare i trattamenti soggetti a valutazione. Eventuali responsabilità personali degli esponenti aziendali richiedono invece l’accertamento di specifici presupposti giuridici e non discendono automaticamente dalla violazione commessa dalla società.
Un ulteriore profilo riguarda le richieste risarcitorie. L’articolo 82 GDPR riconosce il diritto al risarcimento del danno materiale o immateriale subito a causa di una violazione del Regolamento, quando ricorrano i relativi presupposti. La sola assenza della DPIA non comporta automaticamente un obbligo risarcitorio: devono essere valutati l’esistenza di un danno e il nesso causale con la violazione. Se, però, una carente analisi preventiva ha contribuito alla realizzazione di un trattamento lesivo dei diritti degli interessati, la documentazione relativa ai rischi e alle misure di protezione può assumere rilievo anche nell’accertamento delle responsabilità.
Quando l’impresa riceve una richiesta istruttoria o una contestazione, è necessario esaminare con attenzione il contenuto dell’atto e i termini assegnati per rispondere. La predisposizione tardiva di una DPIA non cancella retroattivamente un’eventuale violazione già commessa, ma gli interventi correttivi possono essere rilevanti nella valutazione complessiva della condotta. Per gli aspetti procedimentali abbiamo dedicato un approfondimento alla presentazione delle memorie difensive in caso di contestazione del Garante Privacy.
Se l’azienda scopre autonomamente che una valutazione obbligatoria non è mai stata effettuata, il primo intervento non dovrebbe consistere nella compilazione frettolosa di un modello standard. Occorre ricostruire il trattamento effettivamente svolto, verificare le condizioni che rendevano necessaria la DPIA, individuare i rischi ancora presenti e stabilire quali misure possano essere adottate. Se il trattamento è già operativo, deve essere valutata anche la possibilità di modificarlo o sospenderne determinate operazioni mentre vengono affrontate le criticità. La decisione dipende dalla natura dei dati, dalla gravità dei rischi e dalla concreta possibilità di ridurli attraverso misure tecniche e organizzative.
Esempio pratico: un’azienda scopre che la DPIA non è stata aggiornata dopo l’introduzione di nuove funzionalità
Consideriamo, a titolo esemplificativo, una società che utilizza da alcuni anni una piattaforma informatica per la gestione del personale. Al momento dell’introduzione del sistema era stata predisposta una DPIA relativa alle funzionalità originarie. Successivamente, il fornitore ha attivato strumenti di analisi delle attività lavorative e report individuali, senza che l’azienda abbia riesaminato la valutazione d’impatto. Durante una verifica interna emerge che il documento non descrive le nuove elaborazioni né considera i rischi connessi all’utilizzo delle informazioni sui singoli dipendenti.
In una situazione del genere, il nostro intervento professionale dovrebbe partire dall’esame del contratto con il fornitore, della documentazione tecnica e delle modalità concrete di utilizzo della piattaforma. Sarebbe necessario verificare quali dati vengano raccolti, quali soggetti possano consultarli, per quali finalità siano utilizzati e se le nuove funzionalità siano compatibili con la disciplina sulla protezione dei dati personali e con le disposizioni applicabili ai controlli sui lavoratori. Il punto più delicato riguarderebbe la distinzione tra funzionalità tecnicamente disponibili e trattamenti effettivamente effettuati dall’impresa.
Una volta ricostruita la situazione, si dovrebbe procedere al riesame della DPIA, individuando le eventuali misure correttive e valutando se alcune funzionalità debbano essere disabilitate, limitate o diversamente configurate. L’azienda dovrebbe documentare le decisioni assunte, coinvolgere il DPO ove designato e verificare la coerenza delle modifiche con il registro dei trattamenti e le procedure interne. L’aggiornamento documentale non sarebbe sufficiente se i rischi individuati richiedessero anche modifiche operative al sistema. La soluzione dovrebbe quindi essere definita sulla base delle caratteristiche effettive del trattamento, senza presumere che la regolarizzazione successiva elimini eventuali responsabilità pregresse.
Domande frequenti sulla DPIA mancante o non aggiornata
Se l’azienda ha avviato un trattamento senza DPIA, può predisporla successivamente?
Sì. Quando l’impresa accerta che una valutazione d’impatto obbligatoria non è stata effettuata, deve intervenire per esaminare i rischi del trattamento e correggere la situazione. La DPIA predisposta successivamente non elimina retroattivamente la violazione dell’obbligo di valutazione preventiva. Occorre verificare se il trattamento possa proseguire nelle condizioni esistenti, se siano necessarie misure correttive immediate e se ricorrano i presupposti per la consultazione preventiva del Garante ai sensi dell’articolo 36 GDPR.
Una DPIA predisposta diversi anni fa deve essere necessariamente rifatta?
No. Il GDPR non stabilisce una scadenza generalizzata della valutazione d’impatto. L’articolo 35, paragrafo 11, richiede un riesame quando necessario, almeno in presenza di variazioni del rischio rappresentato dal trattamento. L’introduzione di nuove funzionalità, modifiche alle finalità, cambiamenti nelle categorie di dati o nelle modalità operative possono rendere necessario un aggiornamento. Una DPIA datata può rimanere adeguata se continua a rappresentare correttamente il trattamento e i relativi rischi.
Se la DPIA è stata predisposta dal consulente privacy, chi risponde degli eventuali errori?
La responsabilità di assicurare l’adempimento degli obblighi GDPR rimane in capo al titolare del trattamento, anche quando la predisposizione materiale della DPIA viene affidata a un professionista esterno. Eventuali responsabilità contrattuali del consulente devono essere valutate separatamente, considerando l’incarico ricevuto, le informazioni messe a disposizione e gli errori concretamente commessi. La presenza di un DPO non trasferisce automaticamente a quest’ultimo la responsabilità del titolare.
Il Garante può sanzionare l’azienda anche se non si è verificato alcun data breach?
Sì. La mancata effettuazione di una DPIA obbligatoria costituisce una violazione autonoma del GDPR e non richiede necessariamente che si sia verificata una perdita, una sottrazione o una divulgazione non autorizzata di dati personali. L’eventuale sanzione deve comunque essere determinata considerando le circostanze concrete e i criteri previsti dall’articolo 83 del Regolamento.
Quanto costa verificare e aggiornare una DPIA aziendale?
Il costo dipende dalla complessità del trattamento, dalla qualità della documentazione esistente, dalle tecnologie utilizzate e dal numero di processi da esaminare. La revisione di una valutazione già completa può richiedere un’attività diversa rispetto alla predisposizione di una DPIA mai effettuata o alla riorganizzazione di trattamenti che presentano rischi elevati. Per formulare un preventivo attendibile occorre esaminare preliminarmente la situazione aziendale e individuare le verifiche effettivamente necessarie.
DPIA mancante o non aggiornata: richiedi una valutazione legale per la tua azienda
Se la tua azienda ha avviato un trattamento senza effettuare una DPIA obbligatoria, dispone di una valutazione non aggiornata oppure ha riscontrato carenze durante un controllo interno, è opportuno verificare la situazione prima che le irregolarità producano ulteriori conseguenze. La soluzione dipende dalle caratteristiche del trattamento, dai rischi per gli interessati e dagli obblighi concretamente applicabili. Una semplice integrazione documentale potrebbe non essere sufficiente quando occorre intervenire anche sulle modalità operative o sulle misure di protezione.
Lo Studio Legale Calvello, con oltre 25 anni di esperienza professionale, assiste le imprese nell’analisi degli obblighi GDPR, nella verifica della documentazione privacy, nella valutazione delle criticità e nei rapporti con il Garante per la protezione dei dati personali. Esaminiamo la situazione concreta dell’azienda per individuare gli adempimenti necessari e le possibili modalità di intervento, anche con il coinvolgimento del DPO e delle funzioni aziendali interessate.
Se hai bisogno di verificare una DPIA mancante, incompleta o non aggiornata, richiedi una valutazione legale della situazione privacy della tua azienda attraverso il modulo dedicato. Esamineremo la richiesta per valutare la natura della problematica e le possibili attività di assistenza professionale.
