DPIA: quando la valutazione d'impatto è obbligatoria

Valutazione d'impatto sulla protezione dei dati: quando serve e come si fa

Il singolo avvocato che tratta i dati dei propri clienti per gestire le pratiche non deve fare la valutazione d'impatto: il considerando 91 del GDPR esclude che quel trattamento si consideri "su larga scala". Lo studio che installa la videosorveglianza, apre un canale di segnalazione interna o collega un assistente di intelligenza artificiale all'archivio documentale si trova in una posizione diversa. Il data protection impact assessment (DPIA) è un procedimento autonomo, con soglie di attivazione precise, un contenuto minimo fissato dall'art. 35 del regolamento (UE) 2016/679 e, in pochi casi, la consultazione preventiva del Garante prima di poter partire.

Lo studio ci arriva da due lati: la redige per sé quando introduce un trattamento a rischio elevato, e la redige per i clienti che gliela chiedono. Il metodo non cambia.

Quando il data protection impact assessment è obbligatorio: i criteri e l'elenco del Garante

L'art. 35, par. 1 fissa la regola generale: la valutazione serve quando un tipo di trattamento, considerati natura, oggetto, contesto e finalità, può presentare un rischio elevato per i diritti e le libertà delle persone fisiche, in particolare se usa nuove tecnologie. Il par. 3 indica tre casi in cui è comunque richiesta:

• valutazione sistematica e globale di aspetti personali basata su trattamento automatizzato, compresa la profilazione, da cui derivino decisioni con effetti giuridici o analogamente significativi;
• trattamento su larga scala di categorie particolari di dati (art. 9) o di dati relativi a condanne penali e reati (art. 10);
• sorveglianza sistematica su larga scala di una zona accessibile al pubblico.

Nei casi dubbi il riferimento operativo sono le linee guida WP248 rev. 01 del Gruppo di lavoro art. 29, fatte proprie dall'EDPB. Individuano nove criteri: scoring e profilazione, decisioni automatizzate con effetti significativi, monitoraggio sistematico, dati sensibili o di natura estremamente personale, larga scala, raffronto di insiemi di dati, interessati vulnerabili, uso innovativo di soluzioni tecnologiche, trattamenti che impediscono di esercitare un diritto. Quando ne ricorrono almeno due, la valutazione va di regola svolta.

A questi si aggiunge l'elenco nazionale previsto dall'art. 35, par. 4, adottato dal Garante con il provvedimento n. 467 dell'11 ottobre 2018: dodici tipologie. Quattro riguardano da vicino uno studio.

• Punto 5: trattamenti nell'ambito del rapporto di lavoro con sistemi, videosorveglianza e geolocalizzazione compresi, da cui derivi la possibilità di controllo a distanza dei dipendenti.
• Punto 7: trattamenti con tecnologie innovative, e l'elenco cita espressamente i sistemi di intelligenza artificiale. Attenzione alla condizione: la voce scatta solo quando ricorre anche almeno un altro dei criteri del WP248. La novità tecnologica da sola non basta.
• Punto 8: scambio di dati su larga scala fra titolari diversi con modalità telematiche.
• Punto 10: dati degli artt. 9 e 10 interconnessi con altri dati personali raccolti per finalità diverse. Qui la larga scala non è richiesta: conta l'incrocio.

Chi la fa e chi va consultato

La responsabilità è del titolare, cioè dello studio, e non è delegabile. Il DPO, se designato, va consultato (art. 35, par. 2) e sorveglia lo svolgimento della valutazione (art. 39, par. 1, lett. c): il suo parere va riportato nel documento e, se lo studio se ne discosta, va scritto perché.

Il fornitore del software non redige la DPIA al posto dello studio. L'art. 28, par. 3, lett. f) lo obbliga ad assistere il titolare negli obblighi degli artt. da 32 a 36: documentazione tecnica, elenco dei sub-responsabili, localizzazione dei dati, descrizione delle misure. Un fornitore che consegna una DPIA già firmata sta consegnando il documento sbagliato.

L'art. 35, par. 9 chiede inoltre di raccogliere, ove appropriato, il parere degli interessati. Sui trattamenti che riguardano il personale la previsione si intreccia con l'art. 4 della legge 300/1970, che per gli impianti da cui derivi la possibilità di controllo a distanza richiede accordo sindacale o autorizzazione dell'Ispettorato nazionale del lavoro.

Il metodo: descrizione del trattamento, necessità, rischi, misure

L'art. 35, par. 7 stabilisce quattro contenuti minimi, da trattare come quattro capitoli.

a) Descrizione sistematica. Finalità, categorie di dati e di interessati, ciclo di vita del dato, sistemi, destinatari, trasferimenti extra-UE con lo strumento che li legittima (artt. 44-49), tempi di conservazione. Il punto di partenza è il registro dei trattamenti dell'art. 30, da integrare e non da riscrivere: se lo studio non ne ha uno affidabile, il primo passo sono gli adempimenti GDPR dello studio legale.

b) Necessità e proporzionalità. Base giuridica, minimizzazione, limitazione della conservazione, informativa, esercizio dei diritti. La domanda da mettere per iscritto è una: esiste un modo meno invasivo di ottenere lo stesso risultato? La risposta va motivata anche quando è no.

c) Valutazione dei rischi. Si costruiscono gli scenari (accesso non autorizzato, modifica indesiderata, indisponibilità) e si valutano su gravità e probabilità.

d) Misure previste. Ogni misura va agganciata al rischio che riduce, con un responsabile e una data. Un elenco generico di buone pratiche rende il documento inservibile in sede di controllo; per l'inventario conviene partire dalla checklist di sicurezza per lo studio legale.

Come impianto metodologico si possono adottare la norma ISO/IEC 29134:2023 o la metodologia PIA della CNIL francese, che offre scale di valutazione già tarate.

Come si misura il rischio residuo

Le due variabili sono gravità e probabilità, di solito su quattro livelli: trascurabile, limitata, significativa, massima. Il rischio inerente si misura prima delle misure, il residuo dopo. Solo il residuo determina se scatta l'art. 36.

Un esempio: esfiltrazione dell'archivio documentale di uno studio penalista. Gravità massima, perché sono dati dell'art. 10 e la diffusione incide sulla posizione processuale degli assistiti. Probabilità significativa senza autenticazione a più fattori e cifratura a riposo; con MFA, cifratura, segmentazione della rete, log e backup testati scende a limitata. La gravità resta massima.

Le misure di sicurezza abbassano la probabilità, quasi mai la gravità. La gravità si riduce solo con la minimizzazione: meno dati, meno tempo di conservazione, meno destinatari, meno persone abilitate. Se il rischio residuo non scende, il problema è il perimetro del trattamento, non il firewall.

Un errore ricorrente sta più a monte, nell'oggetto della misurazione. Il rischio da valutare è quello per i diritti e le libertà degli interessati, non il danno economico o reputazionale dello studio. Coincidono di rado.

Consultazione preventiva del Garante: quando scatta

L'art. 36, par. 1 impone di consultare l'Autorità quando la valutazione indica che il trattamento presenterebbe un rischio elevato in assenza di misure adottate dal titolare per attenuarlo. Il WP248 lo traduce così: se, applicate tutte le misure ragionevoli, il rischio residuo resta elevato, il titolare consulta l'autorità. Nella pratica riguarda una minoranza di valutazioni.

Alla richiesta si allegano, ai sensi dell'art. 36, par. 3, la ripartizione delle responsabilità fra titolare, contitolari e responsabili, finalità e mezzi del trattamento, misure e garanzie, contatti del DPO e la valutazione stessa.

I tempi pesano sulla pianificazione. Il Garante fornisce il parere entro otto settimane dalla richiesta, prorogabili di altre sei in funzione della complessità, con sospensione del termine finché attende le informazioni richieste. Nel frattempo il trattamento non parte. Chi firma un contratto con decorrenza immediata e poi scopre di dover consultare l'Autorità si ritrova con una licenza attiva e un servizio fermo per due o tre mesi.

La violazione degli artt. 35 e 36 rientra nell'art. 83, par. 4, lett. a): fino a 10 milioni di euro o al 2% del fatturato mondiale annuo, se superiore. Per uno studio la cifra è teorica; il rilievo pratico è che la valutazione, insieme al registro, è tra i primi documenti richiesti in un accertamento.

Aggiornare la valutazione quando il trattamento cambia

L'art. 35, par. 11 chiede il riesame almeno quando insorgono variazioni del rischio. Gli eventi che impongono di riaprire il documento:

• cambia il fornitore, o entra un nuovo sub-responsabile (art. 28, parr. 2 e 4);
• si aggiunge un trasferimento extra-UE, o cambia lo strumento che lo legittima;
• un aggiornamento attiva una funzione nuova, tipicamente un modulo di intelligenza artificiale abilitato per impostazione predefinita;
• cambiano le categorie di interessati, per esempio quando lo studio inizia a trattare dati di minori;
• si modificano i tempi di conservazione dei documenti dello studio;
• c'è stata una violazione dei dati su quel trattamento.

Il documento va datato e versionato. Senza data e senza storico delle revisioni non prova nulla ai fini dell'art. 5, par. 2, perché non si stabilisce se precedeva o seguiva il trattamento.

Il caso pratico: introdurre uno strumento di AI nello studio

Lo scenario più frequente oggi è un assistente generativo che riassume atti e cerca dentro l'archivio dello studio. Il percorso, in cinque passaggi.

1. Perimetro. Quali dati entrano nell'elaborazione. Se l'assistente indicizza l'archivio entra tutto: dati dell'art. 10, controparti e terzi che non sono clienti, corrispondenza riservata. Il confronto con l'alternativa meno invasiva (indicizzare una sola area, pseudonimizzare prima) va motivato qui.
2. Ruoli e contratto. Il fornitore è responsabile ex art. 28: nel contratto servono il divieto di usare i dati per l'addestramento dei modelli, la conservazione delle richieste (idealmente nulla), l'elenco dei sub-responsabili, la localizzazione del trattamento.
3. Rischi specifici. Riemersione di informazioni verso utenti non autorizzati quando l'assistente non eredita i permessi documentali della pratica; output errato inserito in un atto; tensione con il dovere di segretezza dell'art. 13 del codice deontologico forense, su cui vale la pena rileggere le cautele raccolte nell'articolo sull'AI generativa negli studi legali.
4. Misure. Ereditarietà dei permessi dalla pratica, log delle interrogazioni, revisione umana obbligatoria prima del deposito, divieto di strumenti consumer sui dati dello studio, formazione del personale anche in adempimento dell'obbligo di alfabetizzazione in materia di IA dell'art. 4 del regolamento (UE) 2024/1689.
5. Decisione documentata. Se il rischio residuo resta elevato, prima dell'art. 36 si restringe il perimetro: indicizzare una sola area documentale, escludere le pratiche penali, limitare gli utenti abilitati.

Resta il raccordo con l'AI Act: l'art. 26, par. 9 del regolamento (UE) 2024/1689 prevede che chi utilizza un sistema ad alto rischio e deve svolgere la valutazione d'impatto privacy si serva delle informazioni che il fornitore del sistema è tenuto a mettergli a disposizione, cioè le istruzioni per l'uso dell'art. 13 dello stesso regolamento. Anche fuori da quella categoria, la documentazione del fornitore resta il modo più rapido per compilare la lettera a) dell'art. 35, par. 7. Quando lo strumento nasce dentro il gestionale, come QuantumAI, una parte del lavoro si semplifica: perimetro dei dati, permessi e log degli accessi sono quelli già mappati per le pratiche, e le misure infrastrutturali sono quelle del servizio di sicurezza dei dati in essere.

Una regola da applicare subito

Spostare la pre-analisi nel processo di acquisto, non in quello privacy. Nessun contratto che tocchi i dati delle pratiche si firma senza mezza pagina che risponda a tre domande: quali criteri del WP248 ricorrono, se il trattamento rientra nell'elenco del Garante del 2018, se esiste il rischio di dover consultare l'Autorità. Venti minuti per sapere in anticipo se il progetto ha davanti un vincolo temporale di due o tre mesi. L'art. 35, par. 1 chiede che la valutazione sia svolta prima di procedere al trattamento: una DPIA datata dopo l'attivazione del servizio è, agli occhi di chi verifica, una ricostruzione.

Questo articolo ha finalità informative e non sostituisce la valutazione del caso concreto né la consulenza di un professionista.