Articolo 35 GDPR: la valutazione d'impatto spiegata a una PMI

La valutazione d’impatto è guardare il rischio prima di farlo, non dopo

Prima di mettere in discussione qualcosa, mettiamo le cose in chiaro: la valutazione d’impatto è uno strumento sano, e chi la conduce — di solito un consulente o un avvocato che cura la parte privacy — fa un mestiere vero e necessario. Non è un cavillo inventato per complicarti la vita. È una cosa di buon senso, e vale la pena capirla davvero, perché dietro le sigle (DPIA, PIA, “valutazione d’impatto sulla protezione dei dati”) c’è un’idea semplice.

L’idea è questa: prima di avviare un trattamento di dati che può essere rischioso per le persone, ti fermi e ti chiedi cosa potrebbe andare storto. Non a lavori finiti, quando il danno è già possibile: prima. È esattamente quello che fa una persona di buon senso prima di una scelta importante — pesa cosa può succedere e si prepara. La valutazione d’impatto fa lo stesso, ma in modo scritto e ordinato: elenca quali dati raccogli, perché, come si muovono, cosa potrebbe andare male e cosa fai per ridurre quel rischio. È un modo per capire cosa ti chiede davvero il GDPR e dimostrare di averci pensato prima, non dopo.

Mettila così. Il GDPR non vuole che tu faccia una valutazione d’impatto per ogni cosa: sarebbe assurdo. La chiede quando un trattamento è ad alto rischio per le persone — e tra poco vediamo cosa vuol dire. Ma l’idea di fondo, quella che conta per chi ha un’azienda, è che valutare il rischio in anticipo ti conviene a prescindere dalla legge. È il motivo per cui sei finito su questa pagina, anche se non lo sapevi: una valutazione d’impatto seria ti costringe a guardare in faccia una domanda che di solito eviti — dove vivono davvero i dati delle persone che gestisco, e chi li tocca?

Articolo 35 GDPR: i trattamenti ad alto rischio, spiegati senza gergo

Cominciamo dalla parte che ti tiene sveglio: “ma io devo farla, sì o no?”. Qui entra in gioco l’articolo 35 del GDPR, quello che parla proprio di valutazione d’impatto sulla protezione dei dati. In termini generali — e qui ti parlo da operativo, non da avvocato — il regolamento la richiede quando un trattamento può comportare un rischio elevato per i diritti e le libertà delle persone. Non per ogni cosa che fai: per i casi delicati.

Quali sono, in parole semplici? I tipici esempi di trattamento ad alto rischio sono il monitoraggio sistematico delle persone (per esempio sorvegliare o tracciare i comportamenti in modo continuo), il trattamento su larga scala di categorie particolari di dati — quelli più delicati, come i dati sulla salute — e l’uso di nuove tecnologie che valutano o profilano le persone in modo automatico. Sono famiglie di casi, non una lista da spuntare: serve guardare il singolo trattamento e capire dove cade. Per questo l’interpretazione precisa — se il tuo caso specifico richiede o no la valutazione d’impatto — è terreno di chi cura la parte legale, e fa benissimo a curarlo.

E qui arriviamo a chi la conduce. La valutazione d’impatto la fa il titolare del trattamento — cioè tu, l’azienda — di solito affiancato da un consulente GDPR o da un avvocato che porta il metodo e l’occhio legale. È il lavoro del consulente privacy che ti accompagna: è lui che imposta la valutazione, conosce i criteri, sa leggere se un trattamento è ad alto rischio. Il punto, però, è che lui può mappare solo i dati che tu gli sai mostrare. Se gli racconti un flusso ordinato che nella realtà è disordinato, la mappa che ne esce è bella e falsa.

Non hai un problema con la valutazione d’impatto in sé. Hai un problema con dei dati così sparsi che, quando il consulente chiede “dove vivono e chi li tocca?”, non sai rispondere con certezza.

E qui c’è una distinzione che ti salva metà delle preoccupazioni, se la conosci. Una cosa è la valutazione d’impatto sulla carta — il documento che descrive i flussi dei dati, i rischi e le misure, scritto come si deve dal consulente. Quella è necessaria, ed è il suo mestiere. Altra cosa è la corrispondenza tra quella carta e la realtà: il documento dice “i dati entrano qui, vivono lì, li tocca questa persona”, mentre nella realtà quegli stessi dati vivono in copia su sei programmi, sull’Excel di qualcuno e in una chat, senza che nessuno tenga il conto. Trattare le due cose come se fossero la stessa — pensare che basti il documento giusto — è dove la PMI sbaglia. La via onesta è una sola: tenere allineato quello che la mappa dichiara con quello che succede davvero ai dati.

Ma la valutazione sulla carta è solo metà della storia. Perché anche con la mappa più curata, se sotto i dati sono sparsi, quella mappa descrive flussi che nella realtà non sono governati. Di questo secondo problema nessuno ti parla.

Su un Frankenstein operativo la valutazione d’impatto diventa un esercizio di fantasia

Mettiamo che tu abbia il consulente giusto e la voglia di fare le cose per bene: la valutazione d’impatto si avvia. Il primo passo, sempre, è descrivere come si muovono i dati delle persone dentro la tua azienda — da dove entrano, dove si fermano, chi vi accede, dove finiscono. È la base di tutto: senza quella mappa, non c’è niente da valutare. Ed è qui che nasce il guaio vero, quello operativo, di cui la valutazione d’impatto è solo la spia.

Pensa a cosa succede quando provi davvero a disegnare quel flusso. Un dato di un cliente entra da un form sul sito. Finisce nel gestionale. Qualcuno ne fa una copia nel CRM. Il commerciale se lo segna nel suo Excel, che però è sul suo portatile. Una richiesta passa dalla casella email, e un pezzo di conversazione vive in una chat dell’ufficio. Lo stesso dato vive contemporaneamente in sei posti diversi — ed è la definizione di un Frankenstein operativo: sei pezzi cuciti a mano, ognuno con la sua copia di un’informazione che non torna mai uguale, e nessuno che tiene il conto di chi l’ha aperta. Su una situazione così, la mappa del flusso non la disegni: la inventi.

Il risultato lo conosci anche se non l’hai mai chiamato così. La valutazione d’impatto descrive un flusso pulito — “il dato entra qui, vive lì, lo tocca questa persona” — ma nella realtà quel dato è in sei copie e nessuno sa chi le ha aperte. Diventa un esercizio di fantasia: un documento ordinato appoggiato sopra un disordine reale. E proprio lì sta il paradosso. La valutazione serve a misurare il rischio di un trattamento, ma su un Frankenstein operativo il rischio più grosso è proprio quello che la mappa non può vedere — le copie dimenticate, gli accessi di cui nessuno tiene traccia. La piscina bucata non perde solo contatti: perde anche la possibilità di sapere dove sta l’acqua.

Il modo più rapido per dirlo: una valutazione d’impatto vale qualcosa solo se la realtà sotto è governabile — cioè se, alla domanda “dove vive questo dato e chi l’ha toccato?”, sai aprire un posto solo e mostrare tutto. Lo si ottiene facendo confluire i dati in un posto unico dove ogni contatto vive una volta sola — un database tuo, sotto il tuo controllo, con un registro di chi accede a cosa, da cui gli altri strumenti pescano invece di tenere ciascuno la sua copia scollegata. Lì la valutazione d’impatto smette di essere fantasia: descrive un flusso che esiste davvero.

Cosa puoi valutare con i dati sparsi, e cosa con un sistema governabile

	Dati sparsi su sei posti	Un database unico, governabile
”Dove vive questo dato?”	In sei posti, mai allineati	In un posto solo, sotto il tuo controllo
”Chi l’ha toccato?”	Non lo sai: nessuno tiene traccia	Un registro lo dice, con nome e data
La mappa del flusso	La inventi: descrive un mondo che non esiste	La leggi: descrive il flusso reale
La valutazione d’impatto	Un documento appoggiato sul disordine	Una mappa veritiera del rischio
Le misure di sicurezza	Dichiarate sulla carta, non verificabili	Visibili nel sistema, dimostrabili
Se arriva una richiesta o un controllo	Rincorri le copie senza una mappa pronta	Apri un punto solo e mostri il flusso
Cosa hai in mano	Sei copie parziali e una mappa di fantasia	Un dato vero, un rischio davvero misurabile

Letta così, sparisce la domanda sbagliata (“ho fatto il documento giusto?”) e resta quella giusta: il giorno in cui devo valutare il rischio di un trattamento, sto mappando dati che so dove vivono e chi tocca, o sto disegnando un flusso che nella realtà non governo?

Testa la tua azienda →

Prima di avviare una valutazione d’impatto o far scrivere un altro documento, scopri a che punto sei davvero: il voto GDPR della tua azienda in pochi minuti, gratis e senza carta di credito.

Una mappa di fantasia ti lascia esposto proprio dove pensi di essere coperto

Qui arriviamo al punto che conta per chi ha un’azienda, ed è dove la valutazione d’impatto smette di essere teoria e diventa rischio concreto. Una valutazione serve a dimostrare di aver pesato i pericoli e di aver messo le misure giuste — è il lato pratico di come dimostrare le misure di sicurezza adottate, il principio per cui non basta essere a posto, devi poterlo provare. Ma una mappa che descrive un flusso che non esiste non dimostra niente: ti dà l’illusione di aver coperto un rischio che, nella realtà, è ancora lì intatto.

Pensaci. Puoi avere la valutazione d’impatto scritta dal miglior consulente del tuo settore e restare esposto uguale, se sotto i dati delle persone vivono ancora sparsi su programmi che non si parlano. La carta dice una cosa — “questo dato vive qui, lo tocca questa persona, è protetto così” — e il backend ne dice un’altra: sei copie, di cui due dimenticate, e nessuno che sappia chi le ha aperte. Quella distanza tra la mappa e la realtà non è un dettaglio formale. È esattamente il punto in cui un problema diventa serio: il giorno in cui un dato delicato finisce dove non doveva, o un cliente chiede conto di come lo tratti, e tu scopri che la tua mappa non lo aveva nemmeno previsto. Una copia dimenticata che nessuno aveva mappato è il modo più comune in cui una violazione dei dati ti coglie impreparato.

E qui lo strumento operativo ha un nome che conosci già. Una valutazione d’impatto fatta bene parte dal sapere quali dati tratti, dove vivono e chi vi accede — la stessa identica base del registro dei trattamenti. È lo stesso ordine che si costruisce nel percorso della guida madre dell’adeguamento per le PMI: prima sai dove sta ogni dato e chi lo tocca, poi puoi finalmente valutarne il rischio in modo veritiero. Il principio è lo stesso che applico ovunque: il dato vive in un posto solo, tuo, con un registro di chi accede. Non una PMI con più carte in ordine: una PMI dove il rischio si vede davvero — e non ti coglie di sorpresa proprio dove ti credevi coperto.

La mappa dice “questo trattamento è a posto”. Il backend, se i dati sono sparsi, dice un’altra cosa. Quella distanza è dove il rischio vive indisturbato: la valutazione non lo ha nemmeno visto.

Cinque domande oneste prima di disegnare qualsiasi mappa

Non serve una consulenza da migliaia di euro per capire se la tua valutazione d’impatto sarebbe veritiera o solo un disegno sopra il disordine. Bastano cinque domande, e le risposte le sai già.

1. Se domani dovessi disegnare il viaggio di un singolo dato di un cliente — da dove entra a dove finisce — lo sapresti fare con certezza, o tireresti a indovinare in qualche passaggio?
2. Sai dire, di getto, in quanti posti diversi vive oggi la stessa informazione su una persona — o lo scopri solo quando devi cercarla?
3. Esiste un registro di chi, nel tuo team, ha avuto accesso al dato di una persona nell’ultimo mese — o di quegli accessi nessuno tiene traccia?
4. Tratti dati delicati — per esempio sulla salute, o profili e monitori le persone in modo sistematico — senza esserti mai fermato a pesare quanto è rischioso prima di farlo?
5. Una mappa dei tuoi flussi di dati, se la disegnassi oggi, descriverebbe quello che succede davvero, o un mondo ordinato che nella realtà non esiste?

Se a queste domande hai risposto con un sospiro, non sei nei guai: sei nella situazione di quasi tutte le PMI italiane. La differenza la fa misurare con precisione dove sei, invece di tirare a indovinare e disegnare una mappa di fantasia. E questo lo puoi fare adesso, da solo, in pochi minuti.

GDPR Quick Audit · il voto di conformità del tuo sistema

Rispondi a poche domande sulla tua azienda — dove tieni i dati, chi vi accede, quali trattamenti delicati fai, come gestisci richieste e cancellazioni — e in pochi minuti hai un voto chiaro su quanto sei in regola e dove sei scoperto. Niente gergo da avvocato, solo dove intervenire per primo per avere una mappa dei dati veritiera, non un documento sopra il disordine.

Inserisci i dati e parti. Senza carta di credito. Il risultato lo salvi nella tua Officina con la sola email, se vuoi tenertelo.

Calcola il tuo voto GDPR · gratis →

Il voto è il punto di partenza. Dice dove sei oggi e se i tuoi dati sono davvero mappabili; cosa farne, lo decidi tu.

Le domande che ti stai facendo adesso

Cos’è una valutazione d’impatto (DPIA) in parole semplici?

È valutare in anticipo quanto è rischioso un trattamento di dati, prima di avviarlo. In pratica ti fermi e ti chiedi: quali dati raccolgo, come si muovono, cosa potrebbe andare storto per le persone e cosa faccio per ridurre quel rischio. La sigla DPIA sta per “valutazione d’impatto sulla protezione dei dati” (in inglese la trovi anche come PIA, privacy impact assessment). Non è un cavillo: è guardare il pericolo prima, non dopo che il danno è già possibile.

Quando il GDPR obbliga a fare una valutazione d’impatto?

L’articolo 35 del GDPR la richiede quando un trattamento può comportare un rischio elevato per i diritti e le libertà delle persone. In termini generali rientrano qui casi come il monitoraggio sistematico delle persone, il trattamento su larga scala di dati particolarmente delicati (per esempio quelli sulla salute) e l’uso di nuove tecnologie che profilano o valutano le persone in automatico. Sono famiglie di casi, non una lista chiusa: se il tuo caso specifico ricade nell’obbligo lo stabilisce chi cura la parte legale, guardando il singolo trattamento.

Chi conduce la valutazione d’impatto?

Il responsabile è il titolare del trattamento — cioè tu, l’azienda. In pratica però quasi nessuno la fa da solo: di solito è affiancato da un consulente GDPR o da un avvocato che porta il metodo, conosce i criteri e sa leggere se un trattamento è ad alto rischio. Il consulente imposta la mappa e l’analisi; tu fornisci la realtà operativa, cioè dove vivono davvero i dati e chi vi accede. Funziona solo se quei due pezzi combaciano.

La valutazione d’impatto è la stessa cosa del registro dei trattamenti?

No, ma partono dalla stessa base. Il registro dei trattamenti è l’elenco di quali dati tratti, perché, dove vivono e chi vi accede. La valutazione d’impatto va oltre: prende un trattamento ad alto rischio e ne pesa i pericoli e le contromisure. Senza un quadro chiaro di dove stanno i dati — quello che dà il registro — la valutazione non ha su cosa lavorare. Per questo conviene mettere prima i dati in ordine, poi valutarne il rischio.

Ho la valutazione d’impatto scritta dal consulente: sono a posto?

Il documento giusto è necessario, ed è giusto farlo seguire da chi cura la parte legale. Ma vale solo se descrive la realtà. Se la mappa dichiara che un dato vive in un posto e lo tocca una persona, mentre nei fatti è in sei copie sparse che nessuno governa, quella distanza tra carta e realtà è dove resti esposto. La valutazione misura il rischio coi fatti, non con un disegno. Lo si ottiene mettendo i dati in ordine sotto, non aggiungendo un altro documento sopra.

Da dove inizio, senza impegno?

Dagli strumenti diagnostici gratuiti: misuri il voto GDPR della tua azienda — dove stanno i dati, chi vi accede, quali trattamenti delicati fai — in pochi minuti, senza carta di credito e senza parlare con nessuno. Poi, se ha senso, ne parliamo.

Puoi continuare a disegnare mappe dei tuoi dati che descrivono un ordine che nella realtà non esiste. Oppure puoi avere un sistema dove i dati vivono in un posto solo — e la valutazione del rischio diventa vera.

Smetti di mappare un flusso che non governi. Inizia a sapere davvero dove vivono i tuoi dati.

La maggior parte degli imprenditori che mi scrive non ha un problema con la valutazione d’impatto in sé. Quella è uno strumento sano, e il consulente che la conduce fa un mestiere vero, porta acqua pulita. Hanno un problema a monte: i dati delle persone li tengono sparsi su gestionali, CRM, fogli Excel, email e chat che non si parlano. Il giorno in cui c’è da mappare il viaggio di un dato e capire chi lo tocca, non hanno una risposta certa. Lì, non nel documento, si apre il rischio vero.

Una mappa più curata non lo risolve, perché descrive una realtà che resta caotica. Un consulente che imposta la valutazione è necessario, ma non basta se sotto i dati restano ovunque: la carta dice una cosa, il backend ne dice un’altra, e quella distanza è dove il rischio vive indisturbato. Lo risolve mettere i dati in un posto solo, tuo, con un registro di chi li tocca — così la mappa che il consulente disegna descrive un flusso che esiste per davvero. È il complemento operativo che rende la valutazione veritiera: lui porta il metodo e l’occhio legale, io costruisco il sistema sotto perché ci sia qualcosa di vero da mappare.

Non ti chiedo di firmare niente e non ti chiedo di credermi. Non sono un avvocato e non ti vendo la conformità garantita: se il tuo caso richiede o no una valutazione d’impatto, e come va scritta, lo stabilisce chi cura la parte legale. Io costruisco il sistema sotto, così che la mappa del rischio non sia un disegno di fantasia ma il ritratto fedele di quello che succede ai tuoi dati — e il lavoro legale diventi semplice. Ti chiedo solo di guardare il voto GDPR della tua azienda, gratis, in pochi minuti. Se quello che vedi ti suona familiare, andiamo avanti. Se non fa per te, chiudiamo qui senza rancore.

Una mappa del rischio vale solo se i dati che descrive sono governati davvero. Adesso scopri se i tuoi lo sono!

Testa la tua azienda →

Strumenti gratuiti. Senza carta di credito. Senza parlare con nessuno.