DPIA (Valutazione Impatto)

Conduzione, calcolo del rischio e documentazione della Valutazione d'Impatto sulla Protezione dei Dati (Art. 35 GDPR).

La sezione **DPIA** (Data Protection Impact Assessment – Valutazione d’Impatto sulla Protezione dei Dati) consente di condurre e documentare le valutazioni di impatto previste dall’**art. 35 GDPR** per i trattamenti che possono presentare un rischio elevato per i diritti e le libertà delle persone fisiche.

La DPIA è un processo per identificare e minimizzare i rischi per i diritti delle persone. È obbligatoria quando il trattamento può presentare un rischio elevato. Si accede cliccando su **DPIA** nel menu laterale sinistro.

> **Nota operativa:** Le DPIA completate non vengono visualizzate in forma editabile in questa sezione: vengono generate come documenti PDF certificati e archiviate automaticamente nel **Repository Documenti** con impronta SHA-256, numero seriale e data certificata. Per consultare una DPIA esistente, accedere al Repository e filtrare per categoria DPIA.

---

### 1. Pagina principale
La pagina mostra:
* **Card KPI Totale DPIA** – numero di valutazioni create.
* **Box informativo** con la definizione di DPIA e riferimento normativo (art. 35 GDPR).
* **Griglia di card:** una per ogni trattamento per cui è stata avviata o completata una DPIA.
* **Pulsante + Nuova DPIA** in alto a destra.

Ogni card mostra il nome del trattamento (es. *"Trattamento: Dipendenti"*, *"Trattamento: Registrazioni videosorveglianza"*). Cliccando sulla card si accede alla DPIA di quel trattamento per modificarla o completarla.

---

### 2. Struttura della DPIA generata da GDPRLab
GDPRLab genera automaticamente un documento PDF strutturato seguendo la metodologia indicata dalle Linee guida WP248 dell’EDPB e il Provvedimento del Garante n. 467 dell’11 ottobre 2018. Il documento comprende le seguenti sezioni principali:

| Sezione | Contenuto |
| :--- | :--- |
| **Nozione di valutazione d’impatto** | Definizione della DPIA e inquadramento come strumento di accountability |
| **Quadro normativo** | Riferimenti normativi: art. 35 e 36 GDPR, considerando C84-C95, WP248, Provvedimento Garante n. 467/2018 |
| **Motivi della valutazione d’impatto** | Motivo per cui il trattamento specifico richiede una DPIA (criterio applicabile da WP248) |
| **Metodo di conduzione della DPIA** | Metodologia adottata, consultazione del DPO, struttura del documento |
| **Valutazione preliminare** | Fase 1: Descrizione del trattamento / Fase 2: Valutazione della conformità / Fase 3: Decisione se condurre la DPIA |
| **Esecuzione DPIA** | Fase 1: Informazioni integrative / Fase 2: Valutazione del rischio (metodologia RN) / Fase 3: Valutazione idoneità misure di sicurezza |
| **Risultati DPIA** | Livello di rischio normalizzato finale; obbligo o meno di comunicazione al Garante |
| **Revisione e aggiornamento** | Condizioni che richiedono il riesame della DPIA |
| **Appendice** | Tabella riepilogativa dei rischi con rischi residui; misure in via di implementazione; firma del DPO |

---

### 3. Valutazione Preliminare – le tre fasi

#### Fase 1 – Descrizione del trattamento
La prima fase raccoglie le informazioni di base sul trattamento oggetto di valutazione, attingendo automaticamente dai dati già inseriti nel wizard Trattamenti:

> **Nota operativa:** I dati della Fase 1 vengono precompilati automaticamente dalla piattaforma attingendo dalle informazioni inserite nel wizard Trattamenti. Verificarne la correttezza e completarli se necessario prima di procedere.

#### Fase 2 – Valutazione della conformità
La seconda fase valuta la conformità del trattamento al GDPR. Comprende:

#### Fase 3 – Decisione: condurre la DPIA?
Sulla base delle risultanze della valutazione preliminare, la piattaforma determina se il trattamento richiede l’esecuzione della DPIA completa. La decisione viene motivata nel documento con riferimento ai criteri applicabili (WP248) e alla storia del trattamento.

In questa fase viene anche presentata la lista dei **4 rischi principali** che verranno analizzati:
1. Danneggiamento / perdita / distruzione non autorizzata dati personali
2. Accesso non autorizzato dati personali
3. Trattamento non autorizzato (comprensivo di modifica, divulgazione, ecc.)
4. Trattamento non conforme alla finalità della raccolta o illecito

---

### 4. Esecuzione DPIA – Metodologia di valutazione del rischio
GDPRLab applica una metodologia quantitativa basata su tre fattori per calcolare il **Rischio Normalizzato (RN)**:

**Formula: RN = f(P, C, V)**

| Fattore | Simbolo | Scala | Valori |
| :--- | :--- | :--- | :--- |
| **Probabilità di accadimento** | **P** | 1–4 | 1 = Improbabile / 2 = Poco probabile / 3 = Probabile / 4 = Quasi certo |
| **Conseguenze dell’evento** | **C** | 1–4 | 1 = Trascurabili / 2 = Marginali / 3 = Limitate / 4 = Gravi |
| **Vulnerabilità (misure)** | **V** | 3 valori | 0,25 = Adeguate / 0,5 = Parzialmente adeguate / 1 = Inadeguate |

#### 4.1 Rischio Intrinseco (Ri = P × C)
Il Rischio Intrinseco è il prodotto della Probabilità per le Conseguenze, calcolato **prima** di considerare le misure di sicurezza adottate:

| Ri = P × C | Livello di rischio intrinseco |
| :--- | :--- |
| **1 ≤ Ri ≤ 2** | Molto basso |
| **3 ≤ Ri ≤ 4** | Basso |
| **6 ≤ Ri ≤ 9** | Rilevante |
| **12 ≤ Ri ≤ 16** | Alto |

#### 4.2 Rischio Normalizzato (RN = Ri × V)
Il Rischio Normalizzato tiene conto dell’adeguatezza delle misure di sicurezza adottate: RN = Ri × V (valore peggiore delle misure per quel rischio specifico).

| RN = Ri × V | Livello di rischio normalizzato |
| :--- | :--- |
| **0,25 ≤ RN ≤ 1** | Molto basso |
| **1 < RN < 3** | Basso |
| **3 ≤ RN ≤ 9** | Rilevante |
| **12 ≤ RN ≤ 16** | Alto |

> **Nota operativa:** La metodologia RN = f(P, C, V) permette di ridurre significativamente il livello di rischio attraverso misure di sicurezza adeguate (V = 0,25). Un trattamento con rischio intrinseco Alto (Ri = 12–16) e misure adeguate (V = 0,25) produce un RN massimo di 4, classificato come *Rilevante* anziché Alto.

#### 4.3 Aree di pericolo analizzate

| Area di pericolo | Rischi generati |
| :--- | :--- |
| **Agenti fisici** (incendio, allagamento, attacchi esterni) | Danneggiamento, perdita, distruzione non autorizzata |
| **Eventi naturali** (terremoti, eruzioni, ecc.) | Danneggiamento, perdita, distruzione non autorizzata |
| **Interruzione servizi** (sbalzi tensione, guasti reti) | Danneggiamento, perdita, distruzione non autorizzata |
| **Problemi tecnici** (anomalie software, hardware) | Danneggiamento, perdita, distruzione, accesso non autorizzato |
| **Compromissione informazioni** (intercettazioni, email) | Perdita, distruzione, accesso non autorizzato |
| **Azioni non autorizzate** (errori, virus, uso anomalo) | Danneggiamento, perdita, distruzione, accesso non autorizzato, trattamento non autorizzato, trattamento non conforme |

#### 4.4 Valutazione delle misure di sicurezza
Per ogni rischio identificato, la piattaforma valuta l’idoneità delle misure di sicurezza adottate, distinte in base allo strumento:

**Trattamenti con strumenti elettronici:**
* **Backup e Disaster Recovery:** procedure e software di backup adeguati.
* **Accesso fisico, organizzativo e logico:** vigilanza sedi, custodia in armadi, controllo accessi, identificazione utente, antivirus, monitoraggio sessioni.
* **Gestione credenziali:** identificazione incaricato, sostituzione periodica, disattivazione inattività >6 mesi.
* **Conformità finalità:** aggiornamento periodico banche dati, cancellazione dati non occorrenti, cifratura dati sensibili (VPN).

**Trattamenti senza strumenti elettronici:**
* Documenti personali mai incustoditi su scrivanie; riporre documenti e attivare salvaschermo in presenza di estranei.
* Incaricati autorizzati solo ai dati strettamente necessari.
* Aggiornamento periodico banche dati; documenti con dati non occorrenti distrutti in sicurezza.

---

### 5. Risultati della DPIA
Il documento DPIA si conclude con una sezione Risultati che riporta:
1. Il **livello di rischio normalizzato complessivo** del trattamento (es. *Rilevante*).
2. La valutazione sull’obbligo o meno di **comunicazione preventiva al Garante** (art. 36 GDPR).
3. L’indicazione che i risultati analitici sono illustrati in appendice.

*Esempio di risultato:* “A valle dell’indagine DPIA condotta l’attività ricade in fascia Rilevante, che tuttavia non è tale da dover prevedere l’obbligo di comunicazione al Garante.”

> **Attenzione:** Se il livello di rischio normalizzato finale è **Alto (RN 12–16)**, il Titolare è obbligato a consultare preventivamente il Garante prima di avviare il trattamento (art. 36 GDPR). Il trattamento non deve essere avviato fino al ricevimento del parere.

---

### 6. Appendice del documento DPIA
Il documento DPIA generato da GDPRLab contiene un’appendice strutturata in tre parti:

| Parte appendice | Contenuto |
| :--- | :--- |
| **1. Tabella dei rischi** | Riepilogo di tutti i rischi identificati con: Probabilità, Conseguenze e Livello di rischio iniziali; Opzioni di mitigazione adottate; Rischi residui dopo l’applicazione delle misure (Probabilità, Conseguenze, Livello normalizzato) |
| **2. Misure in via di implementazione** | Tabella con i rischi residui e le misure aggiuntive pianificate per ridurli ulteriormente (da compilare quando sono previste misure future) |
| **3. Misure ulteriori privacy** | Misure aggiuntive adottate nell’esercizio dell’attività prevalente |

---

### 7. Documento finale e certificazione
Il documento PDF generato da GDPRLab è un documento legale certificato che include:
* Dati del Titolare del Trattamento (ragione sociale, indirizzo, P.IVA, codice fiscale).
* Responsabile elaborazione DPIA e posizione.
* Firma del Responsabile della Protezione dei Dati (DPO) con data.
* Data di redazione della DPIA.
* Data e ora di generazione del documento.
* **Numero seriale univoco** (es. *XF1417*).
* **Impronta Hash SHA-256** del documento.
* **Data certificata dell’impronta** (timestamp di certificazione).

> **Nota operativa:** Il numero seriale e l’hash SHA-256 permettono di identificare univocamente ogni DPIA generata e di verificarne l’integrità nel tempo. Conservare sempre il PDF originale scaricato dal repository: è il documento probatorio inopponibile.

---

### 8. Revisione e aggiornamento della DPIA
La DPIA non è un adempimento una tantum: deve essere riesaminata periodicamente e in presenza di specifiche condizioni. GDPRLab indica nel documento le condizioni che richiedono revisione:

**Cambiamenti sulle attività di trattamento:**
* Contesto o finalità del trattamento.
* Tipologia di dati personali trattati.
* Destinatari o modalità di raccolta.
* Combinazioni di dati da fonti diverse.
* Trasferimento di dati all’estero.

**Modifiche ai rischi:**
* Presenza di nuove minacce.
* Modifica ai sistemi informativi a supporto del trattamento.
* Soppressione di contromisure esistenti.
* Nuovi scenari di rischio o nuovi potenziali impatti.
* Attuazione di nuove misure di sicurezza tecniche o organizzative.

**Mutamenti nel contesto organizzativo o sociale:**
Qualsiasi cambiamento significativo nel contesto in cui opera l’organizzazione che possa influenzare i rischi per gli interessati.

---

### 9. Quando è obbligatoria la DPIA
L’art. 35 GDPR prevede l’obbligo di DPIA quando il trattamento può presentare un rischio elevato. Le Linee guida WP248 EDPB identificano i seguenti criteri: in presenza di **almeno 2**, la DPIA è generalmente necessaria:

> **Nota operativa:** Il Garante italiano ha pubblicato l’elenco delle tipologie di trattamenti per cui la DPIA è obbligatoria (Provvedimento n. 467 dell’11 ottobre 2018). Verificarlo sempre prima di applicare i criteri generali EDPB.

---

### 10. Workflow consigliato
1. Completare il wizard **Trattamenti**: i dati inseriti alimentano automaticamente la DPIA.
2. Identificare i trattamenti che soddisfano almeno 2 criteri WP248 o rientrano nel Provvedimento Garante n. 467/2018.
3. Cliccare **+ Nuova DPIA** nella pagina DPIA e selezionare il trattamento.
4. Verificare e completare la **Fase 1** (descrizione) e la **Fase 2** (conformità): i dati sono precompilati ma vanno revisionati.
5. Procedere con la **Fase 3** (decisione) e l’**Esecuzione DPIA** con la valutazione del rischio.
6. Compilare la sezione sulle misure di sicurezza in via di implementazione (Appendice 2).
7. Ottenere il parere del **DPO** (se designato) e raccoglierne la firma.
8. **Completare la DPIA**: il sistema genera il PDF con hash SHA-256 e lo archivia nel Repository.
9. Per consultare la DPIA: accedere al **Repository Documenti** e filtrare per categoria DPIA.
10. Aggiornare la DPIA ogni volta che si verificano le condizioni di revisione indicate nella sezione 8.

---

### 11. Relazioni con altre sezioni

| Sezione | Relazione con la DPIA |
| :--- | :--- |
| **Trattamenti** | Il wizard Trattamenti precompila automaticamente i dati della Fase 1 e 2 della DPIA (tipo dati, misure, accessi, collocazione) |
| **Registro Trattamenti** | Il Registro deve indicare se un trattamento è stato sottoposto a DPIA; la DPIA completa il Registro come documento probatorio |
| **Nomine** | Il DPO (se designato) va consultato nella DPIA; il suo parere e la firma sono parte del documento finale |
| **Sicurezza informatica** | Le misure di sicurezza configurate (backup, accessi, logging) sono le misure di mitigazione valutate nella DPIA |
| **Repository** | Le DPIA completate vengono archiviate con hash SHA-256 e filtro DPIA; è qui che si consultano le DPIA già prodotte |
| **Registro Data Breach** | Un breach grave su trattamento con DPIA richiede la revisione della valutazione di impatto |
| **Responsabili Esterni** | I responsabili del trattamento coinvolti nel trattamento oggetto di DPIA sono indicati nella Fase 2 |