Modello DPIA (valutazione d'impatto sulla protezione dei dati): quando è obbligatoria e cosa deve contenere
La valutazione d'impatto sulla protezione dei dati (DPIA) è l'analisi da svolgere prima di avviare un trattamento di dati personali che può presentare un rischio elevato per le persone: descrive il trattamento, verifica che sia necessario e proporzionato, valuta i rischi per i diritti degli interessati e definisce le misure che li riducono. Il GDPR la richiede all'articolo 35. Se dopo le misure il rischio resta elevato, occorre consultare l'autorità di controllo prima di iniziare (art. 36). Questa guida è solo informativa e non costituisce consulenza legale.
Quando la DPIA è obbligatoria
L'articolo 35, paragrafo 1, del GDPR richiede una DPIA quando un trattamento, per natura, ambito di applicazione, contesto o finalità, può presentare un rischio elevato per i diritti e le libertà delle persone, in particolare quando prevede l'uso di nuove tecnologie. Il paragrafo 3 indica tre casi in cui è sempre necessaria:
- Valutazione sistematica e globale di aspetti personali basata su un trattamento automatizzato, compresa la profilazione, che produce effetti giuridici o incide in modo analogo significativamente sulle persone.
- Trattamento su larga scala di categorie particolari di dati o di dati relativi a condanne penali e reati.
- Sorveglianza sistematica su larga scala di una zona accessibile al pubblico.
Ogni autorità pubblica inoltre un elenco delle tipologie di trattamento per cui la DPIA è sempre richiesta (art. 35, par. 4); in Italia il Garante per la protezione dei dati personali ha pubblicato il proprio elenco. Verificate l'elenco aggiornato della vostra autorità prima di concludere che la DPIA non serve.
Valutazione preliminare: i 9 criteri del Comitato europeo per la protezione dei dati
Per i casi che non rientrano né nella legge né nell'elenco, le linee guida sulla DPIA approvate dal Comitato europeo per la protezione dei dati propongono 9 criteri. Come regola pratica, un trattamento che ne soddisfa due o più richiede probabilmente una DPIA. Conservate per iscritto questa valutazione preliminare per ogni trattamento nuovo o modificato in modo rilevante, anche quando la conclusione è che la DPIA non serve:
| Criterio | Esempio |
|---|---|
| 1. Valutazione o assegnazione di un punteggio alle persone (profilazione) | Scoring del merito creditizio, segmentazione comportamentale |
| 2. Decisione automatizzata con effetti giuridici o analoghi | Rifiuto automatico di una candidatura o di un finanziamento |
| 3. Monitoraggio sistematico | Monitoraggio dei dipendenti, videosorveglianza dei locali |
| 4. Dati sensibili o di natura altamente personale | Salute, biometria, dati di minori, geolocalizzazione |
| 5. Trattamento su larga scala | Molte persone, grandi volumi, lunga durata o ampia area geografica |
| 6. Combinazione o raffronto di insiemi di dati | Incrocio di dati di due sistemi con finalità diverse |
| 7. Interessati vulnerabili | Minori, pazienti, dipendenti nei confronti del datore di lavoro |
| 8. Nuove tecnologie o usi innovativi | Riconoscimento facciale, sistemi di IA, dispositivi connessi |
| 9. Trattamento che impedisce di esercitare un diritto o di accedere a un servizio | Screening automatizzato prima della stipula di una polizza |
Esempio: un negozio online che crea profili di acquisto (criterio 1) di centinaia di migliaia di clienti (criterio 5) soddisfa due criteri e dovrebbe svolgere una DPIA; le buste paga di una piccola impresa, di norma, no.
Kit ISO 27701: la documentazione del tuo sistema di gestione della privacy
34 documenti Word · 14 strumenti Excel · 78 controlli dell'Appendice A
Vedi il kit ISO 27701 con procedura DPIA e modello di registroCosa deve contenere una DPIA (art. 35, par. 7)
La legge fissa un contenuto minimo. Un buon modello lo organizza in sezioni e lascia spazio alle evidenze:
| Sezione | Cosa scrivere | Fonte |
|---|---|---|
| Descrizione del trattamento | Finalità, dati, interessati, sistemi, fornitori, flusso dei dati e, se pertinente, l'interesse legittimo | Art. 35, par. 7, lett. a |
| Necessità e proporzionalità | Base giuridica, minimizzazione, tempi di conservazione, informativa e modalità di esercizio dei diritti | Art. 35, par. 7, lett. b |
| Rischi per gli interessati | Cosa può andare storto (accesso non autorizzato, discriminazione, perdita di controllo sui propri dati), probabilità e gravità | Art. 35, par. 7, lett. c |
| Misure | Misure tecniche e organizzative che riducono ogni rischio, con responsabile e scadenza | Art. 35, par. 7, lett. d |
| Rischio residuo e decisione | Livello dopo le misure, approvazione e, se resta elevato, consultazione preventiva dell'autorità | Art. 36 |
| Parere del DPO e degli interessati | Parere del responsabile della protezione dei dati e, se opportuno, opinione degli interessati | Art. 35, par. 2 e 9 |
La DPIA non è un esercizio una tantum: l'articolo 35, paragrafo 11, chiede di riesaminarla quando il rischio cambia, ad esempio con nuovi dati, un nuovo fornitore o una funzione automatizzata.
Come svolgerla passo per passo
- Partire dal registro dei trattamenti: scegliere il trattamento e riportarne finalità, dati, destinatari e tempi di conservazione.
- Svolgere la valutazione preliminare con i 9 criteri e l'elenco del Garante; archiviarla anche se la DPIA non serve.
- Mappare il flusso dei dati: da dove arrivano, dove sono conservati, chi vi accede e dove vengono trasferiti.
- Valutare ogni rischio per gli interessati con la stessa scala di probabilità e gravità del registro dei rischi.
- Definire le misure con responsabile e scadenza, calcolare il rischio residuo e farlo approvare dal titolare del processo.
- Chiedere il parere del DPO e, se il rischio residuo resta elevato, preparare la consultazione preventiva prima di avviare il trattamento.
Il legame con ISO 27701
ISO/IEC 27701:2025 include la valutazione d'impatto sulla privacy tra i controlli per i titolari del trattamento (controllo A.1.2.6) e la collega alla valutazione dei rischi del sistema di gestione (punto 6.1). Così un unico metodo serve sia al GDPR sia alla certificazione:
- GDPR: DPIA nei casi dell'art. 35 e consultazione preventiva ai sensi dell'art. 36.
- ISO 27001: usare la stessa scala di probabilità e impatto del registro dei rischi facilita l'audit di entrambi i sistemi.
- Regolamento sull'IA: per i sistemi di IA che trattano dati personali, la DPIA si coordina con la valutazione d'impatto dei sistemi di IA della ISO 42001.
Il kit NexoDocs ISO 27701 contiene una procedura DPIA (PIMS-PRO-02) con la valutazione preliminare e le sezioni sopra descritte, collegata al registro dei trattamenti (PIMS-ROP-01) e al registro dei rischi privacy (PIMS-RSK-02), in file Word ed Excel modificabili.
Errori frequenti
- Svolgere la DPIA dopo l'avvio del trattamento: la legge la richiede prima.
- Valutare solo i rischi per l'azienda (sanzioni, reputazione) e non quelli per gli interessati, che sono il cuore della DPIA.
- Non conservare per iscritto la valutazione preliminare quando la DPIA non serve.
- Copiare una DPIA generica senza descrivere il flusso di dati e i fornitori reali.
- Non riesaminarla quando il trattamento cambia o si aggiunge uno strumento di IA.
Prossimo passo
Prova gratis o vai direttamente alla soluzione completa.
Kit ISO 27701: la documentazione del tuo sistema di gestione della privacy
34 documenti Word · 14 strumenti Excel · 78 controlli dell'Appendice A
Vedi il kit ISO 27701 con procedura DPIA e modello di registro
Campione gratuito
Scarichi gratuitamente una versione ridotta della matrice dei rischi del kit (Excel, 10 scenari, mappa di calore; campione in inglese). Veda come vengono calcolati livello e categoria prima di decidere.
Scarica il campione gratuito (in inglese)Domande frequenti
La DPIA è obbligatoria per tutte le aziende?
No. Secondo l'articolo 35 del GDPR è obbligatoria solo per i trattamenti che possono presentare un rischio elevato per le persone, come i tre casi del par. 3 o quelli dell'elenco del Garante. Per gli altri basta documentare la valutazione preliminare.
Che differenza c'è tra DPIA e valutazione dei rischi di sicurezza?
La valutazione dei rischi di sicurezza (ad esempio secondo ISO 27001) guarda soprattutto agli asset e al rischio per l'organizzazione. La DPIA riguarda un trattamento specifico e il rischio per i diritti e le libertà degli interessati, e verifica anche necessità e proporzionalità.
Chi deve svolgere la DPIA?
Il titolare del trattamento, di solito il responsabile del processo con il supporto del DPO, della sicurezza e dell'IT. Il responsabile del trattamento (fornitore) fornisce informazioni sui propri sistemi, ma l'obbligo è del titolare.
Devo inviarla al Garante?
In generale no. Solo se dopo le misure il rischio resta elevato occorre consultare l'autorità prima di avviare il trattamento (art. 36). La DPIA si conserva come evidenza e si esibisce su richiesta.
Questa guida sostituisce un avvocato?
No. È un'informazione generale per organizzare il lavoro e non costituisce consulenza legale. Per le decisioni sulle basi giuridiche o sulla consultazione preventiva rivolgetevi a un professionista.
Guide correlate
Registro delle attività di trattamento (art. 30 GDPR): contenuto e quando serve una DPIA
Cosa deve contenere il registro delle attività di trattamento (art. 30 GDPR), chi deve tenerlo, quando serve una DPIA e come si collega alla norma ISO 27701.
Leggi la guida →Documenti obbligatori ISO 27701:2025
Le informazioni documentate richieste da ISO/IEC 27701:2025: campo di applicazione, politica, rischi, Dichiarazione di applicabilità, evidenze, con il capitolo.
Leggi la guida →ISO 27701 e GDPR: qual è la differenza?
ISO/IEC 27701 è una norma volontaria e certificabile; il GDPR è una legge UE. Differenze, sovrapposizioni e come ISO 27701 organizza le evidenze GDPR.
Leggi la guida →Aggiornato: 2026-10-28