{"id":11523,"date":"2021-01-27T11:41:54","date_gmt":"2021-01-27T10:41:54","guid":{"rendered":"https:\/\/www.unionepolizialocaleitaliana.it\/sito\/?p=11523"},"modified":"2021-02-01T11:49:56","modified_gmt":"2021-02-01T10:49:56","slug":"2021-02","status":"publish","type":"post","link":"https:\/\/www.unionepolizialocaleitaliana.it\/sito\/2021-02\/","title":{"rendered":"DPIA PER VIDEOSORVEGLIANZA, FOTOTRAPPOLE E BODY CAM (-REV.01-) di M.Mancini"},"content":{"rendered":"

COME SI ESEGUE LA VALUTAZIONE D\u2019IMPATTO
\nSUL TRATTAMENTO DEI DATI-DPIA<\/strong><\/h2>\n

\"\" \u00a0 \u00a0 \u00a0<\/a>di Massimiliano Mancini<\/strong>\u00a0(massimiliano.mancini-privacy@hotmail.com) (1)<\/p>\n

Abstract<\/strong>:<\/strong>Come svolgere operativamente la DPIA, attraverso un modello schematizzato a fasi per svolgere la Valutazione d\u2019impatto sul trattamento dei dati, obbligatoria in tutti i casi in cui si installa una nuova tecnologia per il trattamento dei dati che pu\u00f2 presentare rischi rilevanti per i diritti e le libert\u00e0 delle persone fisiche, in particolare nei casi obbligatori di adozione di videosorveglianza in sede fissa, su veicoli e su persone, come nel caso delle body cam. <\/i><\/p>\n

Keywords:<\/strong> #privacy #GDPR #valutazionedimpatto #valutazioneedimpattosultrattamentodeidatipersonali #dpia #pia #trattamentodatipersonali #DPO #DataProtectionOfficer #RPD #responsabileprotezionedati #massimilianomancini #MassimilianoMancini #EspertiUPLI #UPLI #UnionePoliziaLocaleItaliana<\/p>\n

(1)Segretario Generale UPLI, criminologo, gi\u00e0 comandante dirigente di Polizia Locale e Provinciale, consulente privacy per enti pubblici (Mancini Privacy Firm) e DPO<\/i>\u00a0esperto in DPIA.<\/em><\/p>\n

 <\/p>\n

Indice<\/strong><\/p>\n

Premessa<\/a>; Quando si deve svolgere la DPIA in particolare<\/a>; Chi deve svolgere la valutazione d\u2019impatto sul trattamento dei dati<\/a>; Lo svolgimento e l\u2019aggiornamento<\/a>; Le fasi di svolgimento della valutazione d\u2019impatto-DPIA<\/a>; Fase 1-Valutazione preliminare della necessit\u00e0 di svolgere la Dpia<\/a>; Fase 2-Analisi della conformit\u00e0 del trattamento al GDPR<\/a>; Fase 3-Descrizione del trattamento<\/a>; Fase 4-Valutazione dei rischi<\/a>; Fase 4-Analisi del rischio<\/a>; Fase 6-Piano di azione<\/a>; Fase 7-Monitoraggio del trattamento<\/a>.<\/p>\n

\u00a0<\/strong><\/p>\n

<\/a>Premessa<\/strong><\/h3>\n

Come \u00e8 noto il ruolo di titolare del trattamento dei dati \u00e8 inderogabile, in nessun caso le responsabilit\u00e0 che ne conseguono, incluse quelle per l\u2019omissione degli obblighi di Valutazione d\u2019impatto sul trattamento dei dati, possono essere cedute o mitigate con l\u2019affidamento di incarichi all\u2019interno o all\u2019esterno dell\u2019azienda privata o dell\u2019Ente pubblico da parte del soggetto che ne \u00e8 legale rappresentante e quindi anche titolare ai fini della privacy.<\/p>\n

Il titolare e, in concorso, i responsabili del trattamento e quindi generalmente tutti i funzionari dell\u2019Ente pubblico hanno l\u2019obbligo e la responsabilit\u00e0 della Valutazione d\u2019impatto-DPIA Data Privacy Impact Assessment ogni qual volta si implementa una nuova tecnologia per il trattamento dei dati ed essa, considerati la natura l’oggetto il contesto e le finalit\u00e0 del trattamento, pu\u00f2 presentare un rischio elevato per i diritti e le libert\u00e0 delle persone fisiche (art.35 c.1 GDPR)[1]<\/a> e questo pu\u00f2 essere rivolto anche all\u2019analisi di un insieme di trattamenti simili che presentano rischi elevati analoghi.<\/p>\n

In questo contributo si vuole proporre un metodo per svolgere la Valutazione d\u2019impatto-DPIA procedendo schematicamente per fasi.<\/p>\n

<\/a>Quando si deve svolgere la DPIA in particolare<\/strong><\/h3>\n

Come si \u00e8 gi\u00e0 detto in precedenza[2]<\/a> l\u2019obbligo sussiste specificatamente in tutti i casi di videosorveglianza su aree pubbliche, come previsto dall\u2019articolo 35 comma 1 del Regolamento UE 2016\/679 GDPR, e come precisato dal Comitato Europeo per la Protezione dei Dati (European Data Protection Board \u2013 EDPB<\/em>) il 29 gennaio 2020, nelle Linee Guida 3\/2019 punto 2[3]<\/a>.<\/p>\n

L\u2019elenco esteso, anche se non esaustivo, delle tipologie specifiche di trattamenti soggetti al requisito della preliminare Valutazione d’impatto-DPIA \u00e8 sul sito del Garante per la Privacy all\u2019indirizzo: \u00a0https:\/\/www.garanteprivacy.it\/web\/guest\/home\/docweb\/-\/docweb-display\/docweb\/9058979<\/a>.<\/p>\n

L\u2019omissione dell\u2019obbligo di Valutazione d\u2019impatto-DPIA determina a carico degli enti pubblici cos\u00ec come dei soggetti privati, tra le altre cose, una sanzione sino a dieci milioni di euro (art.35 c.1 e art.83 c.4[4]<\/a> GDPR)<\/u>, una somma che, anche se applicata in misura ridotta, determina conseguenze devastanti.<\/p>\n

<\/a><\/a>Chi deve svolgere<\/strong> la valutazione d\u2019impatto<\/strong> sul trattamento dei dati<\/strong><\/h3>\n

Spetta al titolare del trattamento che nel caso di persone giuridiche si identifica con il legale rappresentante dell\u2019azienda o dell\u2019Ente pubblico, \u00a0(art.35 c.1 GDPR)[5]<\/a> che deve consultarsi con il DPO per avere il suo parere (art.35 c.2 GDPR) [6]<\/a>da indicare nel documento.<\/p>\n

Nella decisione sulla realizzazione e nello svolgimento si consulta con il DPO\/RDP (Data protection officer\/Responsabile per la protezione dei dati) inoltre, se il trattamento lo richiede, pu\u00f2 acquisire pareri di esperti, tecnici e in particolare del responsabile della sicurezza dei sistemi informativi (noto anche come Chief Information Security Officer, acronimo CISO) e del responsabile IT (acronimo di Information Technology), laddove presenti, da allegare alla PIA.<\/p>\n

Se lo ritiene necessario, il titolare pu\u00f2 acquisire anche il parere degli interessati o dei loro rappresentanti purch\u00e9 ci\u00f2 non pregiudichi gli interessi commerciali o pubblici dell\u2019azienda o ente che procede e purch\u00e9 non si mettano a rischio i trattamenti stessi che si vogliono valutare con la PIA (art.35 c.9 GDPR)[7]<\/a>.<\/p>\n

<\/a>Lo svolgimento e l\u2019aggiornamento<\/strong><\/h3>\n

Il PIA non \u00e8 un documento statico ma proprio per le sue finalit\u00e0 generali richiede un processo costante di verifica ed eventuale aggiornamento perlomeno quando insorgono variazioni del rischio, secondo il contesto e le evoluzioni tecnologiche, ovvero mutino o si evolvano le attivit\u00e0 relative al trattamento.<\/p>\n

In questi casi il titolare del trattamento procede a un riesame per valutare se dalle variazioni delle procedure del trattamento che sono intervenute e\/o dalle mutate condizioni del contesto ne scaturisca un pregiudizio, anche solo potenziale, sulla sicurezza del trattamento dei dati personali e se le previsioni contenute nel PIA siano ancora valide e attuali (art.35 c.11 GDPR)[8]<\/a>.<\/p>\n

<\/a>Le fasi di svolgimento della valutazione d\u2019impatto-DPIA<\/strong><\/h3>\n

La normativa in materia e le indicazioni del WP29 (Working Party article 29 o WP29, previsto dall’art. 29 della direttiva europea 95\/46)[9]<\/a> non indicano un modello specifico da adottare, tuttavia le autorit\u00e0 nazionali di controllo hanno fornito degli schemi operativi dai quali si desume il modello che si propone di seguito.<\/p>\n

Anche l\u2019International Organization for Standardization (acronimo), l\u2019Organizzazione internazionale per la normazione che \u00e8 la pi\u00f9 importante organizzazione a livello mondiale per la fissazione di norme tecniche, ha pubblicato una linea guida per effettuare un DPIA (ISO\/IEC 29134) definendo un processo per la Valutazione d\u2019impatto-Privacy impact assessment con una struttura ed i relativi contenuti del report del DPIA a supporto del principio di accountability.<\/p>\n

Per la valutazione del rischio privacy possono essere richiamati gli standard della ISO 31000 che sono citati nel piano nazionale anticorruzione di cui alla Legge 190\/2012.<\/p>\n

Sulla base di queste premesse si possono definire le seguenti fasi della Valutazione d\u2019impatto-DPIA:<\/p>\n