Il 4 Aprile 2017 il WP ha adottato le “Guidelines on Data Protection Impact Assessment (DPIA) and determining whether processing is “likely to result in a high risk” for the purposes of Regulation 2016/679” ma come mai, per chi e per quale scopo sono state emesse??
La risposta a questa domanda è inserita all’interno delle pagine che costituiscono l’intero documento e, a mio parere, non deve passare come un fatto di secondaria importanza, altrimenti si rischia di non entrare correttamente nel merito del documento fornito dal WP.
Le linee guida sono infatti fornite per garantire un’interpretazione coerente delle circostanze in cui una DPIA è obbligatoria ex art. 35 comma 3, ed hanno in primo luogo lo scopo di chiarire il concetto e fornire criteri per gli elenchi che devono essere adottati dal DPAs ai sensi dell’art. 35 comma 4 . Lo scopo del documento è di anticipare il lavoro futuro dell’EDPB (cfr art 70 comma 1 lettera e) e quindi di chiarire le pertinenti disposizioni del GDPR al fine di aiutare i titolari a conformarsi alla legge e fornire la certezza del diritto per i titolari che sono tenuti a svolgere una DPIA. Inoltre le linee guida cercano anche di promuovere lo sviluppo di:
- una comune lista dell’Unione Europea delle operazioni di trattamento per le quali un DPIA è obbligatoria art. 35 comma 4;
- una comune lista di operazioni di trattamento dell’UE per i quali la DPIA non è necessaria art. 35 comma 5;
- criteri comuni sulla metodologia per la realizzazione di una DPIA articolo 35 comma 5;
- criteri comuni per specificare quando l’autorità di vigilanza deve essere consultata art. 36 comma1;
- raccomandazioni, ove possibile, sulla base dell’esperienza acquisita negli Stati membri dell’UE.
In quest’ottica di scopo le linee guida forniscono tutta una serie di dati utilissimi come i criteri ulteriori e le operazioni che vanno considerati nella elaborazione / redazione di una DPIA o quando invece una DPIA non sia necessaria, come si effettua e quali siano le metodologie sottostanti nel realizzarla, e specifica bene come la DPIA sotto il GDPR è uno strumento per la gestione dei rischi per i diritti delle persone interessate. Le linee guida ci lasciano con una buona notizia ossia la prossima emanazione di uno specifico standard di riferimento: ISO/IEC 29134 (project), Information technology – Security techniques – Privacy impact assessment – Guidelines, International Organization for Standardization (ISO) … speriamo!
Avv. Laura Marretta
N.B. gli articoli citati nel presente post s’intendono riferiti al Reg. Ue 2016/679