Alcuni trattamenti di dati personali, per la loro natura o ampiezza, possono mettere seriamente a rischio i diritti delle persone. Per questi casi il GDPR impone di «pensarci prima», analizzando i rischi e le misure di protezione: è la valutazione d’impatto, o DPIA. Vediamo quando è obbligatoria, cosa deve contenere e quando occorre coinvolgere il Garante.
Che cos’è la DPIA
La valutazione d’impatto sulla protezione dei dati (Data Protection Impact Assessment) è disciplinata dall’articolo 35 del GDPR: è un’analisi preventiva dei rischi che un trattamento comporta per i diritti e le libertà delle persone fisiche, e delle misure per affrontarli. Non è un adempimento burocratico fine a sé stesso, ma uno strumento di progettazione consapevole del trattamento.
Quando è obbligatoria
La DPIA è dovuta quando un trattamento può presentare un rischio elevato per i diritti e le libertà degli interessati (art. 35, paragrafo 1). Il paragrafo 3 individua alcuni casi tipici:
- una valutazione sistematica e approfondita di aspetti personali basata su trattamento automatizzato, compresa la profilazione, da cui derivino effetti giuridici o analogamente significativi;
- il trattamento su larga scala di categorie particolari di dati (art. 9) o di dati relativi a condanne e reati (art. 10);
- la sorveglianza sistematica su larga scala di una zona accessibile al pubblico (si pensi a certi impianti di videosorveglianza).
A questi si aggiunge l’elenco delle tipologie di trattamento soggette a DPIA adottato dal Garante con il provvedimento n. 467 dell’11 ottobre 2018, allegato 1 (doc. web 9058979).
Chi la svolge
La DPIA è condotta dal titolare del trattamento, che si avvale del parere del responsabile della protezione dei dati (DPO), ove designato: si veda la guida su quando è obbligatorio il DPO. È un’attività da documentare, in coerenza con il principio di responsabilizzazione.
Cosa deve contenere
L’articolo 35, paragrafo 7, ne fissa il contenuto minimo: una descrizione del trattamento e delle sue finalità; una valutazione della necessità e proporzionalità; una valutazione dei rischi per i diritti e le libertà degli interessati; le misure previste per affrontarli (garanzie, misure di sicurezza, meccanismi per dimostrare la conformità).
La consultazione preventiva
Se, nonostante le misure, la DPIA indica che il trattamento presenterebbe comunque un rischio elevato non mitigabile, il titolare deve consultare il Garante prima di procedere (art. 36). È l’ultimo presidio: si chiede all’autorità un confronto preventivo invece di procedere a proprio rischio.
Cosa dice la giurisprudenza
Che la DPIA vada svolta prima di avviare il trattamento, e non a posteriori, lo conferma la prassi sanzionatoria del Garante. Con il provvedimento n. 766 del 12 dicembre 2024 (doc. web n. 10102334) l’Autorità ha sanzionato il Comune di Portici per aver attivato un sistema automatico di rilevazione delle infrazioni con videosorveglianza senza la previa valutazione d’impatto: trattandosi di monitoraggio sistematico e su larga scala di aree accessibili al pubblico, la DPIA era obbligatoria e doveva essere completata prima dell’avvio, non dopo l’ispezione. Un provvedimento analogo ha riguardato il Comune di Levanto (sistema di lettura targhe, 19 dicembre 2024). La DPIA, dunque, non è un documento da produrre «se richiesto»: è una condizione di liceità del trattamento ad alto rischio, la cui omissione è autonomamente sanzionabile.
Domande frequenti
La mia organizzazione deve fare una DPIA? Solo per i trattamenti che possono presentare un rischio elevato: profilazione con effetti significativi, dati particolari su larga scala, videosorveglianza sistematica e gli altri casi indicati dall’art. 35 e dal Garante.
Chi deve svolgere la valutazione? Il titolare del trattamento, sentito il DPO se nominato; va documentata e aggiornata.
Cosa succede se il rischio resta elevato? Occorre la consultazione preventiva del Garante (art. 36) prima di avviare il trattamento.
Individuare i trattamenti che richiedono una DPIA e condurla correttamente è uno snodo dell’adeguamento al GDPR. La valutazione si collega alla mappatura dei trattamenti nel registro. Offriamo supporto nella consulenza in materia di privacy e GDPR.
Il presente approfondimento ha finalità informative e non sostituisce una valutazione del caso concreto.
Questo approfondimento ha finalità informative e divulgative e non costituisce un parere legale sul caso concreto. Contenuto verificato dal Dott. Giuseppe Foti, consulente legale — ultima verifica: 15 luglio 2026.