NOR18250 – Oggetto: Privacy. Tipologie di trattamenti da sottoporre a valutazione d’impatto.

Roma, 19 Novembre 2018

NOR18250
SM

Oggetto: Privacy. Tipologie di trattamenti da sottoporre a valutazione d’impatto.

Lo scorso 15 Novembre, il Garante per la privacy ha diffuso un elenco allegato alla delibera n.467 dell’11 Ottobre u.s (pubblicata anche sulla Gazzetta Ufficiale n 269 del 19 Novembre 2018), che riporta quelle attività di trattamento di dati personali che, presentando un rischio elevato per le persone, richiedono una valutazione di impatto da parte del titolare (nota anche con il termine Dpia – data protection impact assessment).

Nella newsletter del Garante si legge che questa valutazione “è obbligatoria quando il trattamento dei dati – per l’uso di nuove tecnologie, considerati la natura, l’oggetto, il contesto o le finalità – può presentare un rischio elevato per i diritti e le libertà delle persone. Nell’elenco il Garante ha indicato, tra gli altri, trattamenti valutativi o di scoring su larga scala, trattamenti automatizzati volti ad assumere decisioni che producono effetti giuridici o incidono in modo significativo sulla persona, trattamenti sistematici di dati biometrici e di dati genetici, trattamenti effettuati con l’uso di tecnologie innovative (IoT, intelligenza artificiale, monitoraggi effettuati da dispositivi indossabili).”

Segnaliamo che tra i trattamenti per i quali il Garante ha reso obbligatoria la valutazione d’impatto, rientrano anche (al n. 5) quelli “….effettuati nell’ambito del rapporto di lavoro mediante sistemi tecnologici (anche con riguardo ai sistemi di videosorveglianza e di geolocalizzazione), dai quali derivi la possibilità di effettuare un controllo a distanza dell’attività dei dipendenti.”

Oltre ai trattamenti in elenco (il quale non ha carattere esaustivo), il Garante ha ricordato che “Pa e aziende hanno l’obbligo di adottare una valutazione di impatto sulla protezione dei dati anche quando ricorrano due o più criteri individuati dal Gruppo di lavoro articolo 29 nelle Linee guida in materia di valutazione di impatto nel 2017 (WP 248, rev. 01) e fatte proprie dal Comitato europeo per la protezione dei dati il 25 maggio 2018, oppure quando un titolare ritenga che un trattamento che soddisfa anche solo uno dei criteri richieda una valutazione di impatto.”

Sia l’elenco del Garante che le linee guida predisposte dal gruppo di lavoro art. 29, sono disponibili in allegato alla presente informativa.

Ulteriori informazioni sull’argomento sono inoltre disponibili sulla pagina dedicata sul sito internet del Garante per la privacy, raggiungibile dal link https://www.garanteprivacy.it/regolamentoue/DPIA.

Cordiali saluti.