Il GDPR impone una Valutazione d'Impatto sulla Protezione dei Dati per ogni trattamento suscettibile di comportare un rischio elevato per i diritti e le libertà delle persone. SYAGA DPIA-Express struttura e documenta la vostra DPIA secondo la metodologia dell'articolo 35 e le linee guida dell'EDPB, senza improvvisazione e senza gergo tecnico.
Determinare se il vostro trattamento deve essere oggetto di una DPIA, poi condurla secondo le regole
Ogni trattamento suscettibile di comportare un rischio elevato per i diritti e le libertà delle persone fisiche deve essere oggetto di una Valutazione d'Impatto sulla Protezione dei Dati prima della sua attuazione (GDPR, art. 35).
L'EDPB (ex Gruppo di lavoro Articolo 29, WP29), nelle linee guida WP248 rev.01, ha definito 9 criteri di rischio elevato. Non appena un trattamento soddisfa almeno due di questi criteri, una DPIA deve in linea di principio essere condotta: un solo elemento mal identificato, e il fascicolo è incompleto.
La CNIL (l'autorità francese per la protezione dei dati) pubblica elenchi di trattamenti per i quali la DPIA è richiesta o non richiesta. Determinare con precisione dove si colloca il vostro trattamento richiede una lettura rigorosa, non un'impressione generale.
Condurre una DPIA troppo velocemente espone all'incompletezza davanti a un'autorità di controllo; non condurla quando è richiesta espone l'organizzazione a una violazione dell'articolo 35. Il metodo CNIL struttura questa scelta e la documenta.
La struttura imposta dall'articolo 35.7 del GDPR, applicata al vostro trattamento, con una conclusione motivata a ogni fase
Analisi rispetto ai 3 casi dell'articolo 35.3, alla griglia dei 9 criteri dell'EDPB (WP248 rev.01) e agli elenchi CNIL dei trattamenti richiesti o non richiesti. Conclusione motivata, che la DPIA sia infine obbligatoria o meno.
Finalità, categorie di dati e di persone interessate, destinatari, tempi di conservazione: la mappatura completa richiesta dall'articolo 35.7.a, coerente con il vostro registro delle attività di trattamento (art. 30).
Verifica che ogni dato raccolto sia necessario alla finalità perseguita, che la base giuridica (art. 6) sia identificata per ogni trattamento, e che il principio di minimizzazione (art. 5.1.c) sia rispettato.
Per ogni rischio identificato: gravità, probabilità, misure già in atto, rischio residuo, presentati in forma di tabella utilizzabile dalla vostra direzione o dal vostro DPO.
Misure tecniche e organizzative previste (art. 32), conclusione motivata e giustificazione documentata ai sensi dell'accountability (art. 5.2), utilizzabile in caso di controllo da parte della CNIL.
Un documento strutturato, con fonti citate, e onesto su ciò che resta da validare dal vostro legale o dal vostro DPO
Il documento completo secondo l'articolo 35.7 (da a a d), con una conclusione motivata.
L'analisi preliminare che stabilisce se il vostro trattamento rientra nel campo dell'obbligo.
La DPIA si basa sulla stessa base del vostro registro delle attività di trattamento.
Ogni punto di incertezza è segnalato esplicitamente, mai deciso al posto vostro.
Ogni affermazione giuridica è supportata da fonti, non affermata a memoria.
Consegnato in un formato modificabile, riutilizzabile dal vostro DPO o dal vostro legale.
Un metodo che si basa su testi e autorità, non su interpretazioni personali
Valutazione d'impatto sulla protezione dei dati. Testo consolidato del Regolamento (UE) 2016/679 (EUR-Lex, CELEX 32016R0679).
I 9 criteri di rischio elevato dell'EDPB (ex Gruppo Articolo 29), ripresi dalla CNIL come metodo di riferimento per determinare l'obbligo di DPIA.
Elenchi dei trattamenti per i quali la DPIA è richiesta o non richiesta, e metodo CNIL per la conduzione di una valutazione d'impatto.
Registro delle attività di trattamento: la base di coerenza (finalità, dati, tempi) su cui si fonda ogni DPIA.
Il perimetro dipende dal numero di trattamenti, dalla loro complessità e da ciò che è già documentato presso di voi. Preventivo stabilito dopo un primo scambio.
Non sapete se il vostro trattamento è interessato
Trattamento identificato ad alto rischio
Più trattamenti a rischio da coprire
Una DPIA non è mai definitiva
L'articolo 35.11 del GDPR impone di riesaminare l'analisi in caso di evoluzione significativa del trattamento (nuovo responsabile del trattamento, cambio di hosting, estensione del perimetro di raccolta). Un preventivo di riesame è stabilito caso per caso.
Quello che dice davvero il testo, spiegato in linguaggio semplice. Ogni punto mantiene il link al documento ufficiale.
Una DPIA è semplicemente un lavoro di valutazione: si analizzano i rischi che un trattamento di dati comporta per le persone, prima di metterlo in atto. La CNIL la definisce come "un processo formale che consente di valutare i rischi legati al trattamento di dati personali". Non è un ulteriore adempimento amministrativo, ma uno strumento di buon senso reso obbligatorio dal RGPD in alcuni casi. Fonte: CNIL →
Non serve essere una grande azienda per essere interessati. La CNIL ritiene che una DPIA sia obbligatoria non appena un trattamento soddisfa almeno due di queste nove situazioni: valutare o classificare le persone, prendere una decisione automatizzata che ha un effetto reale su di loro, sorvegliarle in modo sistematico, raccogliere dati sensibili (salute, origine, ecc.), raccogliere su larga scala, incrociare più basi di dati, riguardare persone vulnerabili (dipendenti, pazienti, minori...), utilizzare una tecnologia nuova, oppure privare qualcuno di un diritto o di un servizio. Fonte: CNIL →
Per evitare di dover indovinare, la CNIL ha pubblicato due liste ufficiali: una lista di 14 tipi di trattamenti in cui la DPIA è obbligatoria (dati sanitari, profilazione HR, sorveglianza dei dipendenti, geolocalizzazione su larga scala...), e una lista di 12 tipi in cui non è richiesta (paghe e gestione del personale di organizzazioni con meno di 250 dipendenti, esclusa la profilazione, gestione fornitori, cartella paziente di un professionista sanitario che esercita da solo...). Queste liste non coprono tutti i casi, ma rispondono già a molte situazioni comuni. Fonte: lista CNIL dei trattamenti richiesti →
Il RGPD (articolo 35) non richiede un romanzo, ma quattro elementi precisi: descrivere il trattamento e il suo scopo, verificare che sia davvero necessario e proporzionato, valutare i rischi per le persone interessate, quindi elencare le misure previste per ridurre questi rischi. Una conclusione chiara alla fine: il trattamento è accettabile, e a quali condizioni. Fonte: RGPD, articolo 35 →
Se la vostra organizzazione ha designato un Responsabile della Protezione dei Dati, il RGPD impone di chiedergli consiglio al momento di condurre la DPIA, e di incaricarlo di verificare che l'analisi sia stata effettivamente realizzata. È una garanzia, non una semplice casella da spuntare: coinvolgere il DPO resta il riflesso giusto prima di convalidare una conclusione. Fonte: RGPD, articoli 35 e 39 →
Se, nonostante le misure previste, il trattamento presenta ancora un rischio elevato per le persone, il RGPD impone di consultare la CNIL prima di iniziare. Quest'ultima dispone quindi di otto settimane per dare il proprio parere scritto (prorogabile di sei settimane se il fascicolo è complesso). Da tenere presente: questo caso resta l'eccezione, non la regola. Fonte: RGPD, articolo 36 →
La CNIL ricorda che le sanzioni RGPD possono arrivare fino a 10 milioni di euro o al 2% del fatturato annuo mondiale, a seconda dell'importo più elevato. È un tetto massimo legale, non una fatalità: una DPIA condotta correttamente è proprio ciò che permette di dimostrare, in caso di controllo, che la questione è stata presa sul serio. Fonte: CNIL →
Il Comitato europeo per la protezione dei dati (CEPD/EDPB) ha messo in consultazione pubblica, dal 14 aprile al 9 giugno 2026, una bozza di modello unico di DPIA destinato ad armonizzare le pratiche tra i paesi europei. La consultazione è ormai chiusa; seguiamo gli sviluppi di questo progetto per informarne i nostri clienti a tempo debito. Fonte: EDPB →
Prima di sapere come realizzare una DPIA, occorre sapere se si è interessati. Ecco il perimetro esatto, così come definito dal RGPD e dalla CNIL, senza inutili suspense.
Il RGPD non fissa alcuna soglia di organico per l'obbligo di DPIA. Il suo articolo 35 impone questa analisi al "titolare del trattamento", qualunque sia la sua forma (associazione, artigiano, PMI, ente pubblico, grande gruppo), non appena un trattamento "può presentare un rischio elevato per i diritti e le libertà delle persone fisiche". Un errore frequente da evitare: la soglia di 250 dipendenti esiste effettivamente nel RGPD, ma riguarda un'esenzione parziale dal registro dei trattamenti (articolo 30), non la DPIA. Un'azienda con 5 dipendenti può essere interessata; un gruppo con 2000 dipendenti può non esserlo: tutto dipende dal trattamento, mai dalle dimensioni della struttura. Fonte: RGPD, articolo 35 (riprodotto dalla CNIL) →
L'articolo 35 riguarda "il titolare del trattamento" in senso ampio: un'impresa privata così come una pubblica amministrazione, un ente territoriale, un'associazione o una struttura sanitaria. Il testo prevede persino esplicitamente il caso di una "sorveglianza sistematica su larga scala di una zona accessibile al pubblico", che riguarda tipicamente un comune o un ente di edilizia popolare che installa videosorveglianza sulla pubblica via, non solo un'impresa commerciale. Fonte: RGPD, articolo 35, paragrafo 3 →
La CNIL e l'ex gruppo dell'articolo 29 (diventato Comitato europeo, EDPB) hanno fissato nove criteri nelle loro linee guida di riferimento (WP248). Non appena un trattamento ne riunisce almeno due, la DPIA diventa obbligatoria: valutare o classificare le persone, decidere automaticamente qualcosa che le riguarda, sorvegliarle in modo sistematico, trattare dati sensibili, trattare su larga scala, incrociare archivi, riguardare persone vulnerabili (dipendenti, pazienti, minori), utilizzare una tecnologia nuova, oppure privare qualcuno di un diritto o di un contratto. Fonte: CNIL, linee guida G29/EDPB (WP248) →
In pratica, la dottrina della CNIL riconduce tipicamente a questi criteri: uno studio medico o una clinica che tratta dati sanitari su larga scala, un servizio HR che utilizza uno strumento di valutazione o profilazione dei dipendenti, un'azienda dotata di badge e di videosorveglianza sistematica dei propri locali aperti al pubblico, un istituto di credito o di recupero crediti che pratica lo scoring, oppure un dispositivo connesso per la salute che raccoglie dati sulle abitudini di vita. Fonte: CNIL, lista dei 14 trattamenti a DPIA obbligatoria →
La CNIL ha pubblicato anche una lista di 12 tipi di trattamenti per i quali la DPIA NON è richiesta: ad esempio le paghe e la gestione del personale di un'organizzazione con meno di 250 dipendenti (esclusa la profilazione), la cartella paziente di un professionista sanitario che esercita da solo, o la gestione corrente dei fornitori. Una buona notizia per molte micro-imprese: avere dipendenti o clienti non basta, da solo, a far scattare l'obbligo. Fonte: CNIL, lista dei 12 trattamenti senza DPIA →
Niente gergo da avvocati: risposte semplici, ciascuna basata sul testo ufficiale che la fonda.
Le date che contano davvero, con fonti, per sapere cosa è già obbligatorio oggi e cosa sta arrivando.
Il RGPD è applicabile dal 25 maggio 2018, in tutta Europa. L'obbligo di realizzare una DPIA (articolo 35), le due liste della CNIL che indicano quando è obbligatoria o meno, e le linee guida europee che spiegano come condurla: tutto ciò è in vigore, stabile, e non dipende da alcuna riforma futura. È la base su cui potete contare fin da subito.
Il Comitato europeo per la protezione dei dati (CEPD) sta lavorando a un modello unico di DPIA per armonizzare le pratiche tra i paesi europei. La consultazione pubblica su questo progetto si è conclusa il 9 giugno 2026; non è ancora stata comunicata alcuna data di pubblicazione del modello finale. Nulla obbliga ad aspettare: nel frattempo il metodo della CNIL resta valido.
Il Parlamento europeo e il Consiglio adottano il regolamento 2016/679 il 27 aprile 2016. Viene pubblicato nella Gazzetta Ufficiale dell'Unione europea (GU L119) il 4 maggio 2016, per poi entrare in vigore venti giorni dopo, il 24 maggio 2016, senza essere ancora applicabile. Fonte: EUR-Lex, riferimento ufficiale del regolamento →
Due anni dopo la sua adozione, il regolamento si applica finalmente in tutta Europa (articolo 99.2). È in questo giorno che l'obbligo di DPIA dell'articolo 35 diventa vincolante, e che il Comitato europeo per la protezione dei dati (CEPD) viene istituito per la prima volta, facendo proprie le linee guida sulla DPIA già redatte (WP248 rev.01). Fonte: EUR-Lex, scheda del regolamento (articolo 99) → Fonte: CEPD, linee guida riprese →
Pochi mesi dopo l'entrata in applicazione del RGPD, la CNIL adotta la propria delibera n°2018-327: una lista concreta di 14 tipi di trattamenti (dati sanitari, profilazione HR, sorveglianza dei dipendenti...) per i quali la DPIA deve essere sistematicamente realizzata. Basta indovinare caso per caso. Fonte: CNIL →
Un anno dopo, la CNIL completa la propria dottrina con la delibera n°2019-118: una lista dei trattamenti per i quali una DPIA NON è richiesta (paghe di organizzazioni con meno di 250 dipendenti esclusa la profilazione, gestione fornitori, cartella paziente di un professionista che esercita da solo...). Le due liste della CNIL, insieme, rispondono già a molte situazioni comuni senza dover decidere da soli. Fonte: CNIL →
Il CEPD ha messo in consultazione pubblica una bozza di modello di DPIA comune, destinata ad armonizzare le pratiche tra i paesi europei (oggi, ogni autorità nazionale ha una propria griglia). La consultazione è chiusa dal 9 giugno 2026; non è ancora un testo applicabile, solo un progetto in fase di esame. Fonte: CEPD →
Lo stesso CEPD indica che il modello "sarà finalizzato, con riserva di modifiche appropriate", dopodiché le autorità nazionali avvieranno le procedure per adottarlo come modello unico, o come "meta-modello" compatibile con i modelli già esistenti (tra cui quello della CNIL). Ad oggi non è comunicata alcuna data: seguiamo questo dossier per avvisare i nostri clienti non appena ci saranno novità concrete, senza anticipare nulla. Fonte: CEPD →
Chi sanziona, quanto, e in base a quali criteri. Senza drammatizzare: la grande maggioranza dei casi non ha nulla a che vedere con gli importi che fanno notizia.
È un organo specializzato della CNIL, distinto dal collegio che controlla e assiste quotidianamente, a pronunciare le sanzioni. Dispone di diversi strumenti graduati, non solo la multa: richiamo formale, avvertimento, diffida (con o senza penalità finanziaria), ingiunzione, limitazione temporanea o definitiva del trattamento. La multa è solo l'ultimo gradino della scala. Fonte: CNIL, le sanzioni pronunciate →
Il RGPD (articolo 83) fissa due tetti massimi, di cui si applica il più elevato: fino a 10 milioni di euro o al 2% del fatturato mondiale dell'esercizio precedente per le violazioni degli obblighi organizzativi (sicurezza, registro, DPO, valutazione d'impatto...); fino a 20 milioni di euro o al 4% per le violazioni dei principi sostanziali (base giuridica, consenso, diritti degli interessati, trasferimenti extra-UE). Sono tetti massimi, non importi automatici. Fonte: RGPD, articolo 83 →
L'articolo 83.2 impone all'autorità di tenere conto di: gravità e durata della violazione, natura intenzionale o mera negligenza, misure già adottate per limitare il danno, grado di responsabilità, precedenti, cooperazione con l'autorità, e sensibilità dei dati interessati. In concreto: un'organizzazione che ha documentato il proprio percorso (registro, DPIA, misure di sicurezza) e coopera viene giudicata diversamente da chi non ha fatto nulla. Fonte: RGPD, articolo 83.2 →
Il 10 novembre 2022, la formation restreinte della CNIL ha inflitto una multa di 800 000 euro a Discord. Tra le violazioni contestate: un periodo di conservazione eccessivo, una carenza di sicurezza, e la violazione dell'articolo 35 del RGPD, ovvero l'assenza di una valutazione d'impatto mentre il trattamento, su larga scala e riguardante minori, ne richiedeva una. È l'esempio più diretto del legame tra "nessuna DPIA documentata" e sanzione inflitta. Fonte: delibera SAN-2022-020, Légifrance →
Criteo è stata sanzionata con 40 milioni di euro il 15 giugno 2023, per non essere riuscita a dimostrare un consenso valido al deposito di cookie pubblicitari. Clearview AI è stata sanzionata con 20 milioni di euro il 17 ottobre 2022, per una raccolta massiva di fotografie senza base giuridica. Questi importi riguardano trattamenti internazionali su scala molto ampia, non il caso di una PMI che documenta il proprio percorso. Fonte: delibera SAN-2023-009, Légifrance →
Sulla stessa pagina ufficiale della CNIL che elenca le delibere, una parte importante delle sanzioni pubblicate si conta in migliaia di euro, non in milioni: un'agenzia pubblicitaria sanzionata con 3 000 euro, due medici con 3 000 e 6 000 euro, un servizio di consegna pasti con 20 000 euro. La sanzione è proporzionata alle dimensioni e alla gravità, non una mannaia uniforme. Fonte: CNIL, le sanzioni pronunciate →
Cosa bisogna ricordare
Una DPIA condotta correttamente non rende un'organizzazione intoccabile: costituisce la prova, in caso di controllo, che l'argomento è stato preso sul serio. È esattamente ciò che l'articolo 83.2 del RGPD chiede di considerare per stabilire, o non stabilire, una multa.
In Europa, ogni paese ha le proprie autorità. Ecco, per i 30 paesi dello Spazio Economico Europeo, l'autorità di protezione dei dati (il vostro interlocutore per il RGPD) e l'autorità nazionale per la cybersicurezza. Ogni nome rimanda al sito ufficiale.
Fonti: siti ufficiali delle autorità ed elenco dei membri dell'EDPB (edpb.europa.eu), consultati il 18 luglio 2026. Autorità di protezione dei dati confermate: 30/30. Autorità di cybersicurezza confermate: 28/30. Le indicazioni «da confermare» segnalano una fonte ufficiale non ancora stabilizzata a oggi.
Descriveteci il vostro trattamento, vi ricontatteremo con un preventivo personalizzato.
Gratis: il vostro punteggio + i vostri scostamenti. Il rapporto dettagliato e l'attestazione: 499 € + IVA, solo se decidete voi.
contact@syaga.eu Rivedi il metodo CNIL