Il prezioso lavoro di interpretazione e orientamento dei Garanti europei sul Regolamento generale sulla protezione dei dati (“RGPD”, ossia il Reg. UE n. 2016/679) si arricchisce di un nuovo, atteso, tassello.

Il 4 aprile 2017 sono state infatti rese disponibili le linee guida sul DPIA (Data Protection Impact Assessment), in italiano “valutazione di impatto sulla protezione dei dati”.

Elevato rischio: che vuol dire in concreto?

Uno degli elementi di maggior pregio del documento è rappresentato dallo sforzo di precisare, innanzitutto, che cosa debba intendersi per «elevato rischio per i diritti e le libertà delle persone fisiche» (cfr. art. 35.1 RGPD). Come è noto, infatti, solo quando un’attività di trattamento comporta rischio elevato diventa obbligatorio procedere al DPIA, che ha infatti uno spiccato significato preventivo. Il Regolamento, tuttavia, fornisce sul punto criteri astratti, cfr. commi 1 e 3 dell’art. 35, integrabili con i considerando 71, 75, 89-91. Ebbene, le linee guida rappresentano un primo concreto tentativo di calarli nella realtà operativa.

A questo fine vengono individuate tipologie di attività contrassegnate da diversi fattori di rischio, relativi, per esempio, alla finalità o all’oggetto del trattamento oppure agli interessati o alle modalità. È connotato da una finalità rischiosa il ricorso a schemi predittivi di comportamenti o di condizioni (es. stato di salute).

Si pensi al punteggio attribuito a un soggetto per determinarne l’affidabilità creditizia o lavorativa o la propensione a sviluppare determinate patologie. Il rischio qui è evidente: dall’attribuzione di un determinato punteggio può infatti derivare l’automatica esclusione da benefici, contratti, coperture assicurative. Esempi di rischio insito nell’oggetto del trattamento sono la raccolta di dati sensibili oppure di dati “su larga scala” (cfr. linee guida DPO) o l’incrocio di basi di dati diverse.

È invece soggettivamente rischiosa l’attività che riguardi persone vulnerabili per età, quali i minori, o per contesto, come i lavoratori di un’azienda o i pazienti di un ospedale. Il rischio riguarda le modalità quando al trattamento, per le caratteristiche con cui è svolto, non è possibile ragionevolmente sottrarsi, come nel caso di videosorveglianza sistematica di luoghi pubblici. Presenta ugualmente elementi di rischio l’utilizzo di nuove tecnologie, specie quando non possano ancora integralmente apprezzarsene le ricadute concrete (viene fatto l’esempio di alcune applicazioni all’interno dell’Internet of Things), oppure ancora il trattamento suscettibile di determinare la circolazione di informazioni anche verso Paesi terzi non sicuri.

Il criterio del “doppio rischio”

Di grande interesse è il criterio che potremmo definire del “doppio rischio”. Non basta infatti che sussista un rischio, ma questo deve essere «elevato». A tal fine i Garanti europei forniscono un criterio di facile applicabilità: un trattamento ha rischio elevato quando concorrono almeno due fattori di rischio. Ad esempio, la raccolta di informazioni estratte da social network al fine di creare profili per liste di contatti somma in sé il rischio della profilazione predittiva e quello del trattamento su larga scala, dunque determina l’obbligo di procedere al DPIA.

Il “doppio rischio” è un criterio, non una regola di diritto: potrà cioè ben darsi il caso in cui una singola attività rischiosa sia sufficiente per procedere alla valutazione d’impatto, come potrà anche accadere che la combinazione di tre fattori di rischio non determini una situazione di rischio elevato. Le linee guida, in sostanza, facilitano ma non eliminano l’esperimento di una fase di analisi preliminare volta a determinare se esistano o no le condizioni che rendono necessaria il DPIA. In questa analisi preliminare un ruolo centrale è svolto dal DPO, la cui posizione in merito all’obbligo di procedere al DPIA va documentata per successiva verifica. Nel dubbio, comunque, la valutazione di impatto va svolta, anche per non incorrere nelle elevate sanzioni previste dall’art. 83 RGPD. In attesa che i criteri applicativi siano precisati, giova notare che il massimo edittale per la violazione dell’obbligo di DPIA è fissato in € 10.000.000 o, per le imprese, nella maggior somma tra tale importo e il 2% del fatturato mondiale annuo dell’esercizio precedente.

Modalità, revisione, pubblicità

Una volta stabilito che il DPIA è dovuto, è necessario precisarne caratteristiche e modalità operative.
Qui di seguito una sintesi.

1. Il DPIA deve contenere almeno questi elementi essenziali: descrizione dei trattamenti previsti e delle finalità del trattamento, valutazione del rispetto dei principi di proporzionalità e necessità, analisi dei rischi, correttivi previsti.

Va da sé che ciascuno di questi passaggi ne presuppone logicamente altri: per esempio, non si può descrivere il trattamento senza mapparne i flussi e individuare le strutture coinvolte; non si può valutare il rispetto dei principi di proporzionalità e necessità senza affrontare un esame “by design” del trattamento; non si possono analizzare i rischi senza tenere conto del contesto concreto in cui si svolge l’attività; non si possono prevedere correttivi senza esaminare il nesso eziologico con i rischi.

2. Si rispetta un approccio di neutralità metodologica: non ci sono procedure migliori di altre, i titolari sono liberi di seguire il modus operandi che ritengono più adatto o magari già sperimentato (viene alla mente l’abrogato DPS).

3. Il DPIA dovrebbe essere sottoposto a revisione periodica almeno triennale. Più spesso nel caso in cui si registrino variazioni nei fattori di rischio. Tendenzialmente, comunque, il DPIA dovrebbe essere sottoposto a procedure di aggiornamento continuo.

4. Qual è il regime di pubblicità? Non sussistono obblighi di pubblicità, rimessa facoltativamente, anche per estratto, al titolare. Naturalmente il DPIA va documentato, dunque sarà a disposizione dell’Autorità garante e di altre Autorità competenti a richiederlo.

5. È possibile svolgere il DPIA per più attività di trattamento. Nulla osta a raggruppare insieme situazioni omogenee.

La disciplina transitoria

Tema di grande interesse e di evidente ricaduta pratica immediata è se i trattamenti in corso alla data in cui il Regolamento sarà applicativo (25 maggio 2018) saranno o no soggetti al DPIA. Il Gruppo di lavoro dei Garanti europei dà risposta negativa: solo i trattamenti cominciati a partire da quella data sono soggetti all’obbligo, ancorché sia fortemente raccomandato sottoporvi anche quelli iniziati precedentemente.

La soluzione alleggerisce nell’immediato gli oneri dei titolari, ma appare alquanto frettolosa a chi scrive. Innanzitutto, nell’art. 99 RGPD non è dato rinvenire alcuna esclusione per i trattamenti già esistenti (ma perduranti) rispetto a quelli di nuova instaurazione.

Né a chi scrive appare dirimente la precisazione contenuta all’art. 35.1 che il DPIA deve precedere il trattamento: a maggior ragione andrà fatta per quelli già in essere. Del resto, dal considerando 90 emerge che non necessariamente la valutazione deve precedere il trattamento. Un regime differenziato porrebbe peraltro delicati problemi: irragionevole trattamento di situazioni identiche o perfino il presentarsi di esiti paradossali, come l’esonero dal DPIA di un trattamento a rischio elevatissimo iniziato il 24 maggio 2018 e la soggezione invece di uno a rischio semplicemente elevato, ma cominciato il giorno successivo. Giova poi ricordare che i Garanti europei neppure prendono in considerazione – al limite anche solo per interpretarlo in senso coerente con la posizione assunta – il considerando 171 RGPD, espressamente dedicato proprio alla disciplina transitoria.

La disposizione prevede che «il trattamento già in corso alla data di applicazione del presente regolamento dovrebbe essere reso conforme al presente regolamento entro un periodo di due anni dall’entrata in vigore del presente regolamento». Occorre ricordare che il Regolamento, ai sensi dell’art. 99, registra una dissociazione tra data di entrata in vigore (24 maggio 2016) e data di applicazione (25 maggio 2018).

L’adeguamento dei trattamenti in corso, destinati a proseguire, dovrebbe avvenire perciò al più tardi alla mezzanotte del 24 maggio 2018, ossia nel biennio dall’entrata in vigore. Il considerando esclude invece l’obbligo di adeguamento per i soli trattamenti in corso che cesseranno prima della data di applicazione del Regolamento. Non pare se ne possa trarre il significato, diametralmente opposto, che i trattamenti già in corso non vadano adeguati, fatti salvi i successivi oneri di revisione periodica. Giova qui ricordare che le linee guida del Gruppo di lavoro dei Garanti europei hanno mero valore consultivo, non prescrittivo. Ciò che conta è il rispetto del testo normativo. Sotto questo profilo il considerando 171 appare coerente con l’art. 99. Il suggerimento è perciò, da parte di chi scrive, quello di sottoporre anche i trattamenti in essere al DPIA ove si preveda che questi debbano proseguire dopo il 24 maggio 2018.

Conclusioni

Il pregio delle linee guida è quello di avere fornito risposte pragmatiche a una serie di quesiti: dalle attività che possono considerarsi a rischio per i diritti e le libertà degli interessati al criterio concreto per considerare quest’ultimo elevato (“doppio rischio”), al termine massimo per procedere alla revisione, alla libertà metodologica nell’analisi del rischio. È addirittura fornito, in chiave di gradita facilitazione, uno schema essenziale di struttura del DPIA e sono indicati link a materiale informativo pubblicato da alcuni Garanti europei. Ciò che manca ancora è una lista di tipologie concrete di attività sicuramente incluse o escluse, in modo da rendere più agevole e omogenea la decisione di procedere o non procedere alla valutazione d’impatto.

Vi ricordiamo  che queste tematiche saranno oggetto di approfondimento del II MODULO del MasterCourse ANORC, dedicato alla formazione della figura del DPO – Data Protection Officer, che si terrà a Milano dal 23 Maggio al 25 Maggio 2017.

Per maggiori informazioni vi invitiamo a consultare la pagina dedicata all’offerta formativa.